Vulnérabilités Atlassian activement exploitées (KEV)

CVE-2026-21589 — Atlassian, plusieurs produits : fichiers ou répertoires accessibles aux tiers Critique

• Produit : Atlassian Multiple Products
• Ajoutée au catalogue : 15 octobre 2026
• Échéance CISA : 18 octobre 2026
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-552
• Gravité : CVSS 9,3 (critique)
• Probabilité d’exploitation (EPSS) : 99 %

Plusieurs produits Atlassian (Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible et Fisheye) contiennent une vulnérabilité de fichiers ou de répertoires accessibles aux tiers qui pourrait permettre à un attaquant non authentifié d'accéder à des fichiers spécifiques dans le répertoire racine de l'application web dans les versions affectées.

Action requise : Appliquer les mesures d'atténuation conformément aux instructions de l'éditeur, en assurant la conformité avec les directives BOD 26-04 de la CISA sur la priorisation des mises à jour de sécurité en fonction du risque (voir l'URL dans les notes) et les « Exigences de triage forensique » de la CISA (voir l'URL dans les notes). Suivre les directives BOD 26-04 applicables pour les services cloud ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Les parties prenantes sont responsables d'évaluer l'exposition Internet de chaque actif et d'assurer le respect des directives de correction BOD 26-04.

Références : NVD · CISA · confluence.atlassian.com

Fiche détaillée : versions, références, chronologie →

CVE-2021-26086 — Atlassian Jira Server et Data Center : vulnérabilité de traversée de répertoires

• Produit : Atlassian Jira Server and Data Center
• Ajoutée au catalogue : 12 novembre 2024
• Échéance CISA : 3 décembre 2024
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : > 99,9 %

Atlassian Jira Server et Data Center contiennent une vulnérabilité de traversée de répertoires qui permet à un attaquant distant de lire des fichiers spécifiques via le point de terminaison /WEB-INF/web.xml.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · jira.atlassian.com

CVE-2023-22527 — Atlassian, Confluence Data Center et Server : vulnérabilité d'injection de modèle Critique

• Produit : Atlassian Confluence Data Center and Server
• Ajoutée au catalogue : 24 janvier 2024
• Échéance CISA : 14 février 2024
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-74
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Confluence

Atlassian Confluence Data Center et Server contiennent une vulnérabilité d'injection de modèle OGNL non authentifiée qui peut conduire à une exécution de code à distance.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · confluence.atlassian.com

Fiche détaillée : versions, références, chronologie →

CVE-2023-22518 — Atlassian, Confluence Data Center et Server : vulnérabilité d'autorisation incorrecte Critique

• Produit : Atlassian Confluence Data Center and Server
• Ajoutée au catalogue : 7 novembre 2023
• Échéance CISA : 28 novembre 2023
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-863
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Confluence

Atlassian Confluence Data Center et Server contiennent une vulnérabilité d'autorisation incorrecte qui peut entraîner une perte de données significative lorsqu'elle est exploitée par un attaquant non authentifié. Il n'y a aucun impact sur la confidentialité car l'attaquant ne peut pas exfiltrer de données.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles.

Références : NVD · CISA · confluence.atlassian.com

Fiche détaillée : versions, références, chronologie →

CVE-2023-22515 — Atlassian, Confluence Data Center et Server : vulnérabilité de contrôle d'accès défaillant Critique

• Produit : Atlassian Confluence Data Center and Server
• Ajoutée au catalogue : 5 octobre 2023
• Échéance CISA : 13 octobre 2023
• Rançongiciels : utilisée dans des campagnes connues
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 99 %
• Technologie : Confluence

Atlassian Confluence Data Center et Server contient une vulnérabilité de contrôle d'accès défaillant qui permet à un attaquant de créer des comptes administrateur Confluence non autorisés et d'accéder à Confluence.

Action requise : Appliquer les mesures d'atténuation selon les instructions de l'éditeur ou cesser d'utiliser le produit si les mesures d'atténuation ne sont pas disponibles. Vérifier toutes les instances Confluence affectées à la recherche de preuves de compromission selon les instructions de l'éditeur et signaler toute découverte positive à CISA.

Références : NVD · CISA · confluence.atlassian.com

Fiche détaillée : versions, références, chronologie →

CVE-2022-36804 — Atlassian, Bitbucket Server et Data Center : vulnérabilité d'injection de commandes

• Produit : Atlassian Bitbucket Server and Data Center
• Ajoutée au catalogue : 30 septembre 2022
• Échéance CISA : 21 octobre 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-78, CWE-88, CWE-158
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 99 %

Plusieurs points d'accès API d'Atlassian Bitbucket Server et Data Center contiennent une vulnérabilité d'injection de commandes où un attaquant ayant accès à un dépôt Bitbucket public, ou disposant de permissions de lecture sur un dépôt privé, peut exécuter du code en envoyant une requête HTTP malveillante.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · jira.atlassian.com

CVE-2022-26138 — Atlassian, Confluence : identifiants codés en dur

• Produit : Atlassian Confluence
• Ajoutée au catalogue : 29 juillet 2022
• Échéance CISA : 19 août 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-798
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 98 %
• Technologie : Confluence

L'application Atlassian Questions For Confluence contient des identifiants codés en dur, exposant le nom d'utilisateur et le mot de passe en clair. Un attaquant distant non authentifié peut utiliser ces identifiants pour se connecter à Confluence et accéder à tout le contenu accessible aux utilisateurs du groupe confluence-users.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA · confluence.atlassian.com

CVE-2022-26134 — Atlassian, Confluence Server et Data Center : vulnérabilité d'exécution de code à distance Critique

• Produit : Atlassian Confluence Server/Data Center
• Ajoutée au catalogue : 2 juin 2022
• Échéance CISA : 6 juin 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-917
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Confluence

Atlassian Confluence Server et Data Center contiennent une vulnérabilité d'exécution de code à distance qui permet à un attaquant non authentifié d'exécuter du code à distance.

Action requise : bloquer immédiatement tout trafic Internet vers et depuis les produits affectés ET appliquer la mise à jour selon les instructions de l'éditeur [https://confluence.atlassian.com/doc/confluence-security-advisory-2022-06-02-1130377146.html] OU retirer les produits affectés avant la date limite indiquée à droite. note : une fois la mise à jour déployée avec succès, les agences peuvent réévaluer les règles de blocage Internet.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2021-26085 — Atlassian Confluence Server : vulnérabilité de lecture de fichier arbitraire avant autorisation

• Produit : Atlassian Confluence Server
• Ajoutée au catalogue : 28 mars 2022
• Échéance CISA : 18 avril 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-425
• Gravité : CVSS 5,3 (moyenne)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : Confluence

Les versions affectées d'Atlassian Confluence Server permettent à des attaquants distants de visualiser des ressources restreintes via une vulnérabilité de lecture de fichier arbitraire avant autorisation dans le point de terminaison /s.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-11581 — Atlassian, Jira Server et Data Center : vulnérabilité d'injection de modèle côté serveur

• Produit : Atlassian Jira Server and Data Center
• Ajoutée au catalogue : 7 mars 2022
• Échéance CISA : 7 septembre 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-74
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 85 %

Atlassian Jira Server et Data Center contiennent une vulnérabilité d'injection de modèle côté serveur qui peut permettre une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2021-26084 — Atlassian, Confluence Server et Data Center : vulnérabilité d'injection OGNL Critique

• Produit : Atlassian Confluence Server and Data Center
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 17 novembre 2021
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-917
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : > 99,9 %
• Technologie : Confluence

Atlassian Confluence Server et Data Server contiennent une vulnérabilité d'injection de langage de navigation d'objets (OGNL) qui pourrait permettre à un attaquant non authentifié d'exécuter du code.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2019-3398 — Atlassian, Confluence Server et Data Center : vulnérabilité de traversée de répertoires

• Produit : Atlassian Confluence Server and Data Center
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : pas d’usage connu
• Faiblesse : CWE-22
• Gravité : CVSS 8,8 (élevée)
• Probabilité d’exploitation (EPSS) : 97 %
• Technologie : Confluence

Atlassian Confluence Server et Data Center contiennent une vulnérabilité de traversée de répertoires dans la ressource downloadallattachments qui pourrait permettre à un attaquant distant privilégié d'écrire des fichiers. L'exploitation peut entraîner une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

CVE-2019-3396 — Atlassian, Confluence Server et Data Center : vulnérabilité d'injection de modèle côté serveur Critique

• Produit : Atlassian Confluence Server and Data Server
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-22
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 100 %
• Technologie : Confluence

Atlassian Confluence Server et Data Center contiennent une vulnérabilité d'injection de modèle côté serveur qui pourrait permettre à un attaquant d'obtenir une traversée de répertoires et une exécution de code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →

CVE-2019-11580 — Atlassian, Crowd et Crowd Data Center : vulnérabilité d'exécution de code à distance Critique

• Produit : Atlassian Crowd and Crowd Data Center
• Ajoutée au catalogue : 3 novembre 2021
• Échéance CISA : 3 mai 2022
• Rançongiciels : utilisée dans des campagnes connues
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 95 %

Atlassian Crowd et Crowd Data Center contiennent une vulnérabilité d'exécution de code à distance résultant de l'activation incorrecte d'un plugin de développement pdkinstall dans les versions de production.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Fiche détaillée : versions, références, chronologie →