Эта уязвимость XXE высокой степени серьезности (внедрение внешних сущностей XML) была представлена в версии 7.1.0 Crowd Data Center and Server. Эта уязвимость XXE (XML external Entity Injection) с оценкой CVSS 7,9 позволяет аутентифицированному злоумышленнику получить доступ к локальному и удаленному контенту, который оказывает большое влияние на конфиденциальность, низкое влияние на целостность, сильное влияние на доступность и не требует взаимодействия с пользователем. Atlassian рекомендует клиентам Crowd Data Center и Server выполнить обновление до последней версии.
Если вы не можете это сделать, обновите свой экземпляр до одной из указанных поддерживаемых фиксированных версий:
* Crowd Data Center и Server 7.1: обновите до версии выше или равной 7.1.3. См. примечания к выпуску (https://confluence.atlassian.com/crowd/crowd-release-notes-199094.html). Вы можете загрузить последнюю версию Crowd Data Center and Server из центра загрузки (https://www.atlassian.com/software/crowd/download-archive).
Об этой уязвимости было сообщено через нашу программу Atlassian (внутренняя).
Показать оригинальное описание (EN)
This High severity XXE (XML External Entity Injection) vulnerability was introduced in version 7.1.0 of Crowd Data Center and Server. This XXE (XML External Entity Injection) vulnerability, with a CVSS Score of 7.9, allows an authenticated attacker to access local and remote content which has high impact to confidentiality, low impact to integrity, high impact to availability, and requires no user interaction. Atlassian recommends that Crowd Data Center and Server customers upgrade to latest version, if you are unable to do so, upgrade your instance to one of the specified supported fixed versions: * Crowd Data Center and Server 7.1: Upgrade to a release greater than or equal to 7.1.3 See the release notes (https://confluence.atlassian.com/crowd/crowd-release-notes-199094.html). You can download the latest version of Crowd Data Center and Server from the download center (https://www.atlassian.com/software/crowd/download-archive). This vulnerability was reported via our Atlassian (Internal) program.
Характеристики атаки
Последствия
Строка CVSS v3.0