CVE-2026-21580
KrytyczneCVSS 9.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Krytyczna podatność typu Stored XSS, eskalacja uprawnień i błędna konfiguracja bezpieczeństwa w Confluence Data Center i Server. Umożliwia nieuwierzytelnionemu atakującemu wykonanie dowolnego kodu HTML lub JavaScript w przeglądarce ofiary, działanie jako użytkownik z wyższymi uprawnieniami oraz wykorzystanie luk wynikających z pominiętych najlepszych praktyk bezpieczeństwa.
Ocena ryzyka
Atakujący może przejąć konta użytkowników, eskalować uprawnienia i uzyskać nieautoryzowany dostęp do systemu, co może prowadzić do naruszenia danych i integralności systemu.
Rekomendacja
Zaleca się aktualizację Confluence Data Center i Server do wersji 9.2.21 lub nowszej (dla wersji 9.2) oraz 10.2.13 lub nowszej (dla wersji 10.2). Jeśli to możliwe, należy zastosować najnowszą dostępną wersję.
Inne podatności w Confluence Data Center and Server
Zobacz wszystkie- CVE-2023-22527KrytyczneAktywnie exploitowane
Podatność typu template injection w starszych wersjach Confluence Data Center i Server pozwala nieuwierzytelnionemu atakującemu na zdalne wykonanie kodu (RCE) na zainfekowanej instancji. Klienci używający podatnej wersji muszą natychmiast podjąć działania.
- CVE-2023-22518KrytyczneAktywnie exploitowane
Wszystkie wersje Confluence Data Center i Server są podatne na tę niewykorzystaną podatność. Jest to podatność typu Improper Authorization, która pozwala nieuwierzytelnionemu atakującemu na zresetowanie Confluence i utworzenie konta administratora instancji Confluence. Używając tego konta, atakujący może wykonać wszystkie czynności administracyjne dostępne dla administratora instancji Confluence, co prowadzi do pełnej utraty poufności, integralności i dostępności.
Oryginalny opis (angielski, źródło NVD)
This Critical severity Stored XSS, PrivEsc (Privilege Escalation), and Security Misconfiguration vulnerability was introduced in versions 7.1.1, 7.4.0, 7.13.0, 7.17.0, 7.19.0, 8.0.0, 8.5.0, 8.9.0, 9.0.1, 9.1.0, 9.2.0, 9.3.1, 9.4.0, 9.5.1, 10.0.2, 10.1.0 and 10.2.0 of Confluence Data Center and Server. This Stored XSS, PrivEsc (Privilege Escalation), and Security Misconfiguration vulnerability, with a CVSS Score of 8.6, allows an unauthenticated attacker to execute arbitrary HTML or JavaScript code on a victims browser, perform actions as a higher-privileged user, and to get into the system utilizing loopholes exposed from security best-practices being overlooked. Atlassian recommends that Confluence Data Center and Server customers upgrade to latest version, if you are unable to do so, upgrade your instance to one of the specified supported fixed versions: Confluence Data Center and Server 9.2: Upgrade to a release greater than or equal to 9.2.21 Confluence Data Center and Server 10.2: Upgrade to a release greater than or equal to 10.2.13 See the release notes ([https://confluence.atlassian.com/doc/confluence-release-notes-327.html]). You can download the latest version of Confluence Data Center and Server from the download center ([https://www.atlassian.com/software/confluence/download-archives]). This vulnerability was reported via our Bug Bounty program.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS