[TLP:CLEAR] Atlassian opravuje 15 zranitelností v různých produktech

Atlassian opravuje 15 zranitelností v různých produktech. Nejzávažnější zranitelnosti jsou popsány níže, zbylé naleznete na [1] po rozkliknutí jednotlivých varování. Opravené verze naleznete v odkazech u jednotlivých zranitelností.

Jira Software Data Center, Jira Service Management Data Center - path traversal (CVE-2026-23950)
CVSS 8.8 (High)

Neautentizovanému vzdálenému útočníkovi je kvůli zranitelnosti typu path traversal v produktech Jira Software Data Center a Jira Service Management Data Center při zpracování podvrženého tar archivu umožněno po interakci uživatele přepsat soubory v souborovém systému [2][3].

Zranitelnost se nachází v produktu:

  • Jira Software Data Center; >=11.3.0, <11.3.3; >=10.3.0, <10.3.18

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:H/A:L

Více informací:

Zranitelnost byla veřejně oznámena 17. 3. 2026.

Bamboo Data Center - RCE (CVE-2026-21570)
CVSS 8.6 (High)

Autentizovanému vzdálenému útočníkovi je v produktu Bamboo Data Center umožněno spustit libovolný kód na vzdáleném systému [4].

Zranitelnost se nachází v produktu:

  • Bamboo Data Center; >=9.6, <9.6.24; >=10.2, <10.2.16; >=12.1, <12.1.3

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

Zranitelnost byla veřejně oznámena 18. 2. 2026.

Crowd Data Center - XSS (CVE-2026-21884)
CVSS 8.2 (High)

Neautentizovanému vzdálenému útočníkovi je kvůli DOM-based XSS zranitelnosti v produktu Crowd Data Center umožněno po interakci uživatele spustit v prohlížeči oběti libovolný HTML nebo JavaScript kód [5].

Zranitelnost se nachází v produktu:

  • Crowd Data Center; >=7.1, <7.1.5

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:L/A:N

Více informací:

  • CVE-2026-21884 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 3. 3. 2026.

Jira Data Center, Jira Service Management Data Center – file inclusion (CVE-2026-23745)
CVSS 8.2 (High)

Lokálnímu útočníkovi je v produktech Jira Software Data Center a Jira Service Management Data Center umožněno po interakci uživatele zobrazit obsah lokálního souboru nebo spustit jiný soubor již uložený na serveru [6][7].

Zranitelnost se nachází v produktech:

  • Jira Software Data Center; >=10.3, <10.3.18; >=11.3, <11.3.3
  • Jira Service Management Data Center; >=10.3, <10.3.18; >=11.3, <11.3.3

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:H/VI:L/VA:N/SC:H/SI:L/SA:N

Více informací:

  • CVE-2026-23745 na cve.org, NVD
  • CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 6. 3. 2026.

Za CESNET, z.s.p.o. Michaela Jarošová dne 24. 3. 2026.

CESNET, z.s.p.o. Logo