CVE-2012-2926
CriticalSummary
Wersje Atlassian JIRA przed 5.0.1, Confluence przed 3.5.16, 4.0 przed 4.0.7, 4.1 przed 4.1.10, FishEye i Crucible przed 2.5.8, 2.6 przed 2.6.8, 2.7 przed 2.7.12, Bamboo przed 3.3.4 i 3.4.x przed 3.4.5 oraz Crowd przed 2.0.9, 2.1 przed 2.1.2, 2.2 przed 2.2.9, 2.3 przed 2.3.7 i 2.4 przed 2.4.1 nieprawidłowo ograniczają możliwości zewnętrznych parserów XML, co pozwala zdalnym atakującym na odczyt dowolnych plików lub spowodowanie odmowy usługi (zużycie zasobów) za pomocą nieokreślonych wektorów.
Risk Assessment
Podatność ta może prowadzić do nieautoryzowanego dostępu do wrażliwych danych lub zakłócenia działania systemów, co może mieć poważne konsekwencje dla organizacji.
Recommendation
Zaleca się aktualizację wszystkich wymienionych produktów Atlassian do najnowszych wersji, aby zlikwidować tę podatność.
Original NVD description (English source)
Atlassian JIRA before 5.0.1; Confluence before 3.5.16, 4.0 before 4.0.7, and 4.1 before 4.1.10; FishEye and Crucible before 2.5.8, 2.6 before 2.6.8, and 2.7 before 2.7.12; Bamboo before 3.3.4 and 3.4.x before 3.4.5; and Crowd before 2.0.9, 2.1 before 2.1.2, 2.2 before 2.2.9, 2.3 before 2.3.7, and 2.4 before 2.4.1 do not properly restrict the capabilities of third-party XML parsers, which allows remote attackers to read arbitrary files or cause a denial of service (resource consumption) via unspecified vectors.