Эта критическая серьезность уязвимости Stored XSS, PrivEsc (повышение привилегий) и неправильной конфигурации безопасности была представлена в версиях 7.1.1, 7.4.0, 7.13.0, 7.17.0, 7.19.0, 8.0.0, 8.5.0, 8.9.0, 9.0.1, 9.1.0, 9.2.0, 9.3.1, 9.4.0, 9.5.1, 10.0.2, 10.1.0 и 10.2.0 центра обработки данных и сервера Confluence. Эта уязвимость Stored XSS, PrivEsc (повышение привилегий) и неправильной конфигурации безопасности с оценкой CVSS 8,6 позволяет неаутентифицированному злоумышленнику выполнять произвольный код HTML или JavaScript в браузере жертвы, выполнять действия от имени пользователя с более высокими привилегиями и проникать в систему, используя лазейки, обнаруженные в результате упущения из виду лучших практик безопасности. Atlassian рекомендует клиентам Confluence Data Center и Server выполнить обновление до последней версии.
Если вы не можете это сделать, обновите свой экземпляр до одной из указанных поддерживаемых фиксированных версий:
Центр обработки данных и сервер Confluence 9.2: обновление до версии выше или равной 9.2.21. Центр обработки данных Confluence и сервер 10.2: обновление до версии выше или равной 10.2.13. См. примечания к выпуску ([https://confluence.atlassian.com/doc/confluence-release-notes-327.html]).
Вы можете загрузить последнюю версию Confluence Data Center and Server из центра загрузки ([https://www.atlassian.com/software/confluence/download-archives]). Об этой уязвимости было сообщено через нашу программу Bug Bounty.
Показать оригинальное описание (EN)
This Critical severity Stored XSS, PrivEsc (Privilege Escalation), and Security Misconfiguration vulnerability was introduced in versions 7.1.1, 7.4.0, 7.13.0, 7.17.0, 7.19.0, 8.0.0, 8.5.0, 8.9.0, 9.0.1, 9.1.0, 9.2.0, 9.3.1, 9.4.0, 9.5.1, 10.0.2, 10.1.0 and 10.2.0 of Confluence Data Center and Server. This Stored XSS, PrivEsc (Privilege Escalation), and Security Misconfiguration vulnerability, with a CVSS Score of 8.6, allows an unauthenticated attacker to execute arbitrary HTML or JavaScript code on a victims browser, perform actions as a higher-privileged user, and to get into the system utilizing loopholes exposed from security best-practices being overlooked. Atlassian recommends that Confluence Data Center and Server customers upgrade to latest version, if you are unable to do so, upgrade your instance to one of the specified supported fixed versions: Confluence Data Center and Server 9.2: Upgrade to a release greater than or equal to 9.2.21 Confluence Data Center and Server 10.2: Upgrade to a release greater than or equal to 10.2.13 See the release notes ([https://confluence.atlassian.com/doc/confluence-release-notes-327.html]). You can download the latest version of Confluence Data Center and Server from the download center ([https://www.atlassian.com/software/confluence/download-archives]). This vulnerability was reported via our Bug Bounty program.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 53
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:*:*:*:*:*:*:*:*
|
9.4.0
|
<= 9.4.1
|
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.4.1:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:*:*:*:*:*:*:*:*
|
9.3.1
|
<= 9.3.2
|
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:*:*:*:*:*:*:*:*
|
9.2.0
|
<= 9.2.20
|
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.2:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.3:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.4:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.5:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.6:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.7:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.8:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.9:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.10:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.11:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.12:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.13:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.14:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.15:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.16:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.17:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.18:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.19:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.20:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:*:*:*:*:*:*:*:*
|
9.1.0
|
<= 9.1.1
|
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.0.3:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:*:*:*:*:*:*:*:*
|
8.9.6
|
<= 8.9.8
|
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:*:*:*:*:*:*:*:*
|
8.5.15
|
<= 8.5.31
|
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.22:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.23:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.24:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.25:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.26:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.27:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.28:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.29:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.30:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:8.5.31:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:*:*:*:*:*:*:*:*
|
7.19.27
|
<= 7.19.30
|
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.21:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.22:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Data_Center
cpe:2.3:a:atlassian:confluence_data_center:9.2.23:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:*:*:*:*:*:*:*:*
|
8.5.15
|
<= 8.5.31
|
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.22:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.23:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.24:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.25:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.26:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.27:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.28:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.29:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.30:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:8.5.31:*:*:*:*:*:*:*
|
— | — |
|
Atlassian Confluence_Server
cpe:2.3:a:atlassian:confluence_server:*:*:*:*:*:*:*:*
|
7.19.27
|
<= 7.19.30
|