Atlassian：注意 Jira 和 Confluence 中严重的文件访问漏洞
Bill Toulas 2026-10-08 16:06 北京
速修复
聚焦源代码安全，网罗国内外最新资讯！
Atlassian 公司正在提醒客户注意一个严重漏洞CVE-2026-21589，它可在多个自托管 Data Center 产品（包括 Confluence、Jira 和 Bitbucket）中被利用，实现任意文件访问。
该漏洞可导致未认证攻击者访问受影响应用程序 Web 根目录中的特定文件。不过需要知道文件的确切名称和路径才能实施利用。该公司在安全公告中提到，“该任意文件访问漏洞可导致未认证攻击者访问受影响版本中 Web 应用程序根目录内的特定文件。利用漏洞需要事先知道目标文件的确切名称和路径；该漏洞不允许攻击者枚举或列出目录内容。”
CVE-2026-21589 影响以下列出的修复版本之前发布的所有产品版本：
Bitbucket Data Center：9.4.26、10.2.8、10.5.1
Confluence Data Center：9.2.26、10.2.19
Jira Service Management Data Center：5.12.40、10.3.26、11.3.12
Jira Software Data Center：9.12.40、10.3.26、11.3.12
Bamboo Data Center：10.2.24、12.1.12
Crowd Data Center：6.3.7、7.0.3、7.1.7、7.2.4
Crucible：4.9.15
Fisheye：4.9.15
Atlassian 敦促管理自托管实例的系统管理员立即应用安全更新。由于供应商已自动修复产品中的漏洞，因此云客户无需采取任何措施。如果无法立即修复，公司建议限制外部网络访问，包括需要对用户进行身份验证的面向互联网实例。临时缓解措施包括添加 Web 应用防火墙（WAF）或代理规则，以阻止所有受影响产品中指定的遍历模式；为 Confluence、JSM、Jira、Bamboo 和 Crowd 添加 Tomcat RewriteValve 规则；或为 Bitbucket 添加 URL 重写规则。Atlassian 的公告提供了分步说明和配置细节，便于实施建议的临时缓解措施。
这些变更必须覆盖每个集群节点，包括 Bitbucket 镜像和镜像场节点。Atlassian 公司表示，目前没有证据表明 CVE-2026-21589正遭利用，但敦促管理员检查访问日志，查找公告中描述的遍历模式。该公司还表示无法确定各个客户实例是否已被入侵，敦促使用自托管实例的客户与本地安全团队联系。
代码卫士试用地址：https://sast.qianxin.com/
开源卫士试用地址：https://oss.qianxin.com/
原文链接
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞”
本文转载自微信公众号「代码卫士」，查看原文。版权归原作者所有，如有侵权请联系删除。