CVE-2026-21589: чтение файлов без аутентификации в восьми продуктах Atlassian

Atlassian выпустила патчи для уязвимости CVE-2026-21589 с оценкой 9.3 по CVSS v4.0: неаутентифицированный атакующий может прочитать файлы в корне веб-приложения Jira, Confluence, Bitbucket, Bamboo, Crowd, Crucible и Fisheye. Через crowd.properties злоумышленник получает пароль приложения Crowd и может создать админский аккаунт.

• Уязвимость затрагивает восемь self-hosted продуктов Data Center
• Чтение ограничено каталогом приложения, но не требует аутентификации
• Через crowd.properties возможен захват учётной записи администратора
• Исправленные версии: Jira 11.3.12, Confluence 10.2.19, Bitbucket 10.5.1