Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

EXPLOTADA ACTIVAMENTEDetectada 15 OCT · 09:00

CVE-2026-21589 Acceso arbitrario a archivos en Bitbucket Data Center, Confluence Data Center, Jira y otros productos de…

Una vulnerabilidad de acceso arbitrario a archivos permite a un atacante no autenticado acceder a archivos específicos dentro del directorio raíz de la aplicación web en las versiones afectadas. La explotación requiere conocer de antemano el nombre y la ruta exactos del archivo objetivo; no permite enumerar ni listar el contenido de directorios. Afecta a Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible y…

9.3CRÍTICA

CVSS 4.0

  • Probabilidad de explotación12,7 %
  • Explotada activamenteSí, desde 15/10
  • Exploit públicoNo conocido

EXPLOTADA ACTIVAMENTE La agencia de ciberseguridad de Estados Unidos (CISA) la incluyó el 15 de octubre de 2026 en su catálogo de vulnerabilidades explotadas en ataques reales, con plazo de corrección hasta el 18 de octubre de 2026. Corregirla es prioritario.

Afectados

  • Atlassian Bamboo Data Center

    All other versions

  • Atlassian Bitbucket Data Center

    All other versions

  • Atlassian Confluence Data Center

    All other versions

  • Atlassian Crowd Data Center

    All other versions

  • Atlassian Crucible Data Center

    All other versions

  • Atlassian Fisheye Data Center

    All other versions

  • Atlassian Jira Service Management Data Center

    All other versions

  • Atlassian Jira Software Data Center

    All other versions

Qué hacer

  1. Verificá si usás Bamboo Data Center y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Priorizá la corrección: ya se usa en ataques reales.
  4. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 4.0 · 9.3 CRÍTICA

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H

  • Vector de ataqueRed
  • Complejidad del ataqueBaja
  • Requisitos del ataqueNinguno
  • Privilegios requeridosNinguno
  • Interacción del usuarioNinguna
  • Confidencialidad (sistema vulnerable)Alta
  • Integridad (sistema vulnerable)Ninguna
  • Disponibilidad (sistema vulnerable)Ninguna
  • Confidencialidad (sistemas posteriores)Alta
  • Integridad (sistemas posteriores)Alta
  • Disponibilidad (sistemas posteriores)Alta

Descripción original

This is a vulnerability in Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center. Crowd Data Center, Crucible and Fisheye. This Arbitrary File Access vulnerability allows an unauthenticated attacker to access specific files within the web application root directory in affected versions. Exploitation requires prior knowledge of the target file's exact name and path; this vulnerability does not allow attackers to enumerate or list directory contents. In some configurations, there may be some sensitive files that make this highly severe. This vulnerability allows an unauthenticated remote attacker to access specific files within the web application root directory in affected versions. The vulnerability must be addressed for affected versions of: -- Bitbucket Data Center, introduced in version >= 4.6.0, fix versions: 9.4.26, 10.2.8, 10.5.1 -- Confluence Data Center, introduced in version >= 5.10.0, fix versions 9.2.26, 10.2.19 -- Crowd Data Center, introduced in version >= 2.11.0, fix versions 6.3.7, 7.0.3, 7.1.7, 7.2.4 -- Jira Software Data Center, introduced in version >= 7.1.0, fix versions 9.12.40, 10.3.26, 11.3.12 -- Jira Service Management Data Center, introduced in version >= 3.1.0, fix versions 5.12.40, 10.3.26, 11.3.12 -- Bamboo Data Center >= 7.0.1, fix versions 10.2.24, 12.1.12 -- Crucible, fix versions 4.9.15 -- Fisheye, fix version 4.9.15 -- Exploitation requires prior knowledge of the target file's exact name and path. The vulnerability does not include the capability to enumerate or list directory contents.

Referencias (10)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.