超危
Atlassian Jira Server和Data Center服务端模版注入漏洞
2019-07-10 00:00:00 公开 ，2025-10-22 00:25:36 更新
- 关键漏洞
- CISA KEV
- 勒索软件漏洞
- APT漏洞
- 远程
- 公开PoC
- 无需认证
- 2024两高一弱互联网漏洞
- 2025两高一弱漏洞
- CWEs：
- CWE-74 （Injection）
- SSVC：
- 可利用状态：已被积极利用攻击自动化：是技术影响评估：全部 2025-02-07 20:28:21
风险信息
- CVSS v2 向量
- AV:N/AC:M/Au:N/C:C/I:C/A:C
- CVSS v2 风险值
- 9.3
- CVSS v3 向量
- AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS v3 风险值
- 9.8
- CVSS v3.1 向量
- AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- CVSS v3.1 风险值
- 9.8
详细信息
- 漏洞类型
- 代码注入
- 漏洞描述
- Jira Server和Data Center中ContactAdministrators和SendBulkMail操作中存在服务器端模板注入漏洞。 如果在Jira中配置了SMTP服务器并且启用了联系管理员表单或攻击者具有JIRA管理员访问权限，则攻击者可以利用此漏洞在系统上执行任意代码。从4.4.0到7.6.14、从7.7.0到7.13.5、从8.0.0到8.0.3、从8.1.0阿斗8.1.2和从8.2.0之前的所有版本的Jira Server和Data Center 8.2.3受此漏洞影响。
- 修复建议
- 有关补丁、升级或建议的解决方法信息，请参阅JIRA安全建议2019-07-10： https://confluence.atlassian.com/jira/jira-security-advisory-2019-07-10-973486595.html
参考链接
- http://www.atlassian.com/software/jira/
- https://jira.atlassian.com/browse/JRASERVER-69532
CVE · x_refsource_MISC
- https://confluence.atlassian.com/jira/jira-security-advisory-2019-07-10-973486595.html
- https://www.auscert.org.au/bulletins/ESB-2019.2589/
- https://nvd.nist.gov/vuln/detail/CVE-2019-11581
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2019-11581
NVD