Aktywnie wykorzystywana w atakach

Atlassian Confluence Server and Data Center Server-Side Template Injection Vulnerability

Atlassian - Confluence Server and Data Server · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.

Wymagane działanie: Apply updates per vendor instructions.

CVE-2019-3396

KrytyczneCVSS 9.8KEV

Opublikowano: 25/03/2019(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Streszczenie

Makro Widget Connector w Atlassian Confluence Server przed wersjami 6.6.12, 6.12.3, 6.13.3 i 6.14.2 pozwala zdalnym atakującym na przejście ścieżki (path traversal) i zdalne wykonanie kodu na serwerze Confluence lub Data Center poprzez wstrzyknięcie szablonu po stronie serwera.

Ocena ryzyka

Atakujący może uzyskać pełną kontrolę nad serwerem Confluence, co może prowadzić do kradzieży danych, modyfikacji treści i przerwania działania usług.

Rekomendacja

Zaktualizuj Confluence Server lub Data Center do wersji 6.6.12, 6.12.3, 6.13.3, 6.14.2 lub nowszej. Ogranicz dostęp do makra Widget Connector tylko dla zaufanych użytkowników.

Inne podatności w Atlassian Confluence

CVE-2017-7415Wysokie
Atlassian Confluence w wersjach 6.x przed 6.0.7 umożliwia zdalnym atakującym ominięcie uwierzytelnienia i odczytanie dowolnego bloga lub strony za pomocą zasobu REST 'drafts diff'.

Oryginalny opis (angielski, źródło NVD)

The Widget Connector macro in Atlassian Confluence Server before version 6.6.12 (the fixed version for 6.6.x), from version 6.7.0 before 6.12.3 (the fixed version for 6.12.x), from version 6.13.0 before 6.13.3 (the fixed version for 6.13.x), and from version 6.14.0 before 6.14.2 (the fixed version for 6.14.x), allows remote attackers to achieve path traversal and remote code execution on a Confluence Server or Data Center instance via server-side template injection.