【漏洞通告】Atlassia多产品未授权任意文件读取漏洞(CVE-2026-21589)

深瞳漏洞实验室
深瞳漏洞实验室

深信服千里目安全技术中心

2026年10月8日 18:23
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

漏洞名称：

Atlassia多产品未授权任意文件读取漏洞(CVE-2026-21589)

组件名称：

Bitbucket Data Cente

Confluence Data Center

Jira Software Data Center

Jira Service Management Data Center

Bamboo Data Center

Crowd Data Center

Crucible

Fisheye

影响范围：

Bitbucket Data Center: 9.4.0 < 9.4.26; 10.2.0 < 10.2.8; 10.5.0 < 10.5.1
Confluence Data Center: 9.2.0 < 9.2.26; 10.2.0 < 10.2.19
Jira Software Data Center: 9.12.0 < 9.12.40; 10.3.0 < 10.3.26; 11.3.0 < 11.3.12
Jira Service Management Data Center: 5.12.0 < 5.12.40; 10.3.0 < 10.3.26; 11.3.0 < 11.3.12
Bamboo Data Center: 10.2.0 < 10.2.24; 12.1.0 < 12.1.12
Crowd Data Center: 6.3.0 < 6.3.7; 7.0.0 < 7.0.3; 7.1.0 < 7.1.7; 7.2.0 < 7.2.4
Crucible: < 4.9.15
Fisheye: < 4.9.15

漏洞类型：

任意文件读取

利用条件：

1、用户认证：无需用户认证

2、前置条件：默认配置

3、触发方式：远程

综合评价：

<综合评定利用难度>：容易，无需授权即可任意文件读取。

<综合评定威胁等级>：高危，能造成任意文件读取。

官方解决方案：

已发布

漏洞分析

组件介绍

Atlassian 是一家总部位于澳大利亚的企业软件公司，主要提供 Jira、Confluence、Trello 等团队协作与项目管理工具，帮助企业提升软件开发和工作效率。本漏洞影响Atlassian 多款产品，涉及的产品为：Jira Software、Jira Service Management、Confluence、Bitbucket、Bamboo、Crowd、Crucible和Fisheye。

漏洞简介

2026年10月8日，深瞳漏洞实验室监测到一则Atlassian系列产品存在任意文件读取漏洞的信息，漏洞编号：CVE-2026-21589，漏洞威胁等级：高危。

该漏洞根源于 Atlassian 多款产品共用的 Web 资源组件 atlassian-plugins-webresource，在该组件的插件资源下载端点(/download/resources/... 路由族)中，资源路径里的 :: 在解析时事实上承担 / 的分隔符角色，而安全校验代码未能将 :: 视为与 / 等价的分隔符，致使 ..:: 形态的穿越序列绕过校验、在后续路径解析中仍按目录跳层生效。远程攻击者只需向该端点发送一条构造好的 GET 请求，全程无需任何身份凭证，即可读取 Tomcat 应用目录范围内任意已知路径的文件；若目标环境接入了 Atlassian Crowd 统一认证，攻击者还可进一步读取 WEB-INF/classes/crowd.properties 中的明文应用凭据，凭其调用 Crowd 用户管理接口创建用户、修改权限等。

影响范围

目前受影响的Citrix Netscaler版本：

Bitbucket Data Center: 9.4.0 < 9.4.26; 10.2.0 < 10.2.8; 10.5.0 < 10.5.1
Confluence Data Center: 9.2.0 < 9.2.26; 10.2.0 < 10.2.19

Jira Software Data Center: 9.12.0 < 9.12.40; 10.3.0 < 10.3.26; 11.3.0 < 11.3.12
Jira Service Management Data Center: 5.12.0 < 5.12.40; 10.3.0 < 10.3.26; 11.3.0 < 11.3.12
Bamboo Data Center: 10.2.0 < 10.2.24; 12.1.0 < 12.1.12
Crowd Data Center: 6.3.0 < 6.3.7; 7.0.0 < 7.0.3; 7.1.0 < 7.1.7; 7.2.0 < 7.2.4
Crucible: < 4.9.15

Fisheye: < 4.9.15

解决方案

官方修复建议

官方已发布安全公告，由于该漏洞涉及多款产品，请按照公告中不同产品升级方案与临时缓解措施执行。
https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html

临时修复建议

• 关闭未使用的功能模块，减少潜在攻击入口。

• 遵循最小权限原则，严控各类敏感操作权限范围。

• 非必要不暴露服务到公网，限制访问源为可信范围。

• 定期更新系统及各类组件至安全版本，及时修补已知隐患。

深信服解决方案

1、风险资产发现

支持对Atlassian系列产品的主动检测，可批量检出业务场景中该事件的受影响资产情况，相关产品如下：

【深信服云镜YJ】已发布资产检测方案，Confluence指纹ID:0000258；Crowd指纹ID:0015737；Bitbucket指纹ID:0014069；Bamboo指纹ID:0006947；Jira Service指纹ID: 0007864。

【深信服漏洞评估工具TSS】已发布资产检测方案，Confluence指纹ID:0000258；Crowd指纹ID:0015737；Bitbucket指纹ID:0014069；Bamboo指纹ID:0006947；Jira Service指纹ID: 0007864。

2、漏洞主动检测

支持对Atlassia多产品未授权任意文件读取漏洞(CVE-2026-21589)的主动检测，可批量快速检出业务场景中是否存在漏洞风险，相关产品如下：

【深信服云镜YJ】预计2026年10月30日发布检测方案，规则ID:SF-2026-13319。

【深信服可拓展检测响应平台XDR】预计2026年10月30日发布检测方案（需要具备云镜组件能力），规则ID:SF-2026-13319。

3、漏洞安全监测

支持对Atlassia多产品未授权任意文件读取漏洞(CVE-2026-21589)的监测，可依据流量收集实时监控业务场景中的受影响资产情况，快速检查受影响范围，相关产品及服务如下：

【深信服安全感知管理平台SIP】预计2026年10月12日发布监测方案，规则ID:11224994。

【深信服安全托管服务MSS】预计2026年10月12日发布监测方案（需要具备SIP组件能力），规则ID:11224994。

【深信服可拓展检测响应平台XDR】预计2026年10月12日发布监测方案，规则ID:11224994。

【深信服流量检测GPT】流量检测GPT基于攻击理解、代码理解能力，不依赖规则即可检测该攻击威胁。

4、漏洞安全防护

支持对Atlassia多产品未授权任意文件读取漏洞(CVE-2026-21589)的防御，可阻断攻击者针对该事件的入侵行为，相关产品及服务如下：

【深信服下一代防火墙AF】预计2026年10月12日发布防护方案，规则ID:11224994。

【深信服Web应用防火墙WAF】预计2026年10月12日发布防护方案，规则ID:11224994。

【深信服安全托管服务MSS】预计2026年10月12日发布防护方案（需要具备AF组件能力），规则ID:11224994。

【深信服可拓展检测响应平台XDR】预计2026年10月12日发布防护方案（需要具备AF组件能力），规则ID:11224994。

参考链接

https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html

https://jira.atlassian.com/browse/BAM-26567

时间轴

2026/10/08

深瞳漏洞实验室监测到Atlassia多产品未授权任意文件读取漏洞信息。

2026/10/08

深瞳漏洞实验室发布漏洞通告。

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。