CVE-2026-21589 w 8 produktach Atlassian Data Center pozwala czytać pliki bez logowania

Atlassian 5 października ujawnił lukę CVE-2026-21589 z oceną 9,3 na 10. Dotyczy 8 produktów Data Center, które firmy utrzymują na własnych serwerach, i poprawki są już dostępne. Napastnik bez logowania może odczytać pliki z katalogu głównego aplikacji webowej. Musi jednak znać dokładną nazwę i ścieżkę pliku, bo zawartości katalogu nie wylistuje. Według Atlassiana w niektórych konfiguracjach leżą tam pliki wrażliwe, co zwiększa ryzyko.

Kogo dotyczy

Luka obejmuje wszystkie wersje 8 produktów Data Center sprzed wersji z poprawką, także te, których wsparcie już się skończyło. Atlassian załatał już produkty w chmurze, więc ich klienci nie muszą nic robić. Numery wersji z poprawką nie są spójne. Dla gałęzi Crowd 7.1 zgłoszenie Atlassiana podaje 7.1.7, a rekord CVE podaje inne numery dla Crowd i Bamboo.

Co zrobić

Atlassian zaleca aktualizację do wersji LTS z poprawką albo nowszej. Jeśli nie da się zaktualizować wszystkiego naraz, instancję należy w miarę możliwości wyłączyć. Instancję dostępną z internetu, także taką, która wymaga logowania, trzeba odciąć od sieci zewnętrznej do czasu aktualizacji albo wdrożenia tymczasowej reguły blokującej.