Aktywnie wykorzystywana w atakach
Atlassian Confluence Server and Data Center Object-Graph Navigation Language (OGNL) Injection Vulnerability
Atlassian - Confluence Server and Data Center · Figuruje w katalogu CISA KEV od 2021-11-03. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2021-26084
KrytyczneCVSS 9.8KEVStreszczenie
W podatnych wersjach Confluence Server i Data Center istnieje podatność na wstrzyknięcie OGNL, która pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na instancji Confluence.
Ocena ryzyka
Atakujący może całkowicie przejąć kontrolę nad serwerem Confluence, co może prowadzić do kradzieży danych, zakłócenia działania i dalszych ataków w sieci.
Rekomendacja
Zaleca się natychmiastową aktualizację Confluence do jednej z podatnych wersji, które zawierają poprawkę, lub zastosowanie tymczasowych środków zaradczych.
Inne podatności w Confluence Server and Data Center
Zobacz wszystkie- CVE-2022-26134KrytyczneAktywnie exploitowane
W podatnych wersjach Confluence Server i Data Center istnieje podatność na wstrzyknięcie OGNL, która pozwala nieuwierzytelnionemu atakującemu na wykonanie dowolnego kodu na instancji Confluence. Dotyczy to wersji od 1.3.0 do 7.4.17, od 7.13.0 do 7.13.7, od 7.14.0 do 7.14.3, od 7.15.0 do 7.15.2, od 7.16.0 do 7.16.4, od 7.17.0 do 7.17.4 oraz od 7.18.0 do 7.18.1.
- CVE-2019-3398WysokieAktywnie exploitowane
Podatność typu path traversal w zasobie downloadallattachments w Confluence Server i Data Center. Umożliwia zapis plików w dowolnych lokalizacjach, co może prowadzić do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
In affected versions of Confluence Server and Data Center, an OGNL injection vulnerability exists that would allow an unauthenticated attacker to execute arbitrary code on a Confluence Server or Data Center instance. The affected versions are before version 6.13.23, from version 6.14.0 before 7.4.11, from version 7.5.0 before 7.11.6, and from version 7.12.0 before 7.12.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS