中危
Atlassian Confluence Server任意文件读取漏洞
2021-07-29 00:00:00 公开 ，2025-10-22 00:17:22 更新
- 关键漏洞
- CISA KEV
- 勒索软件漏洞
- APT漏洞
- 远程
- 无需认证
- 公开PoC
- CWEs：
- CWE-425 （Forced Browsing）
- SSVC：
- 可利用状态：已被积极利用攻击自动化：是技术影响评估：部分 2025-02-07 20:29:39
风险信息
- CVSS v2 向量
- AV:N/AC:L/Au:N/C:P/I:N/A:N
- CVSS v2 风险值
- 5
- CVSS v3 向量
- AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- CVSS v3 风险值
- 5.3
- CVSS v3.1 向量
- AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- CVSS v3.1 风险值
- 5.3
详细信息
- 漏洞类型
- 其他
- 漏洞描述
- Atlassian Confluence Server是澳大利亚Atlassian公司的一套具有企业知识管理功能，并支持用于构建企业WiKi的协同软件的服务器版本。Atlassian Confluence Server可能允许远程攻击者获取敏感信息，这是由/s/端点中的预授权任意文件读取漏洞造成的。通过发送巧尽心思构建的请求，攻击者可以利用此漏洞获取敏感信息，并利用此信息对受影响的系统发起进一步的攻击。
- 修复建议
- 升级至Atlassian Confluence Server（7.13.0或更高版本）的最新版本，可从Atlassian网站获得： https://jira.atlassian.com/browse/CONFSERVER-67893
参考链接
- https://jira.atlassian.com/browse/CONFSERVER-67893
CVE · x_refsource_MISC
- https://nvd.nist.gov/vuln/detail/CVE-2021-26085
- http://packetstormsecurity.com/files/164401/Atlassian-Confluence-Server-7.5.1-Arbitrary-File-Read.html
CVE · x_refsource_MISC
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-26085
NVD