• 漏洞编号：CVE-2026-21589
• 漏洞等级：高危
• 漏洞标签：影响十万级、POC公开、关键漏洞、技术细节公开、奇安信CERT验证
• 发布时间：2026-10-05

漏洞描述

Atlassian Data Center 系列产品是企业级协作与开发平台套件，涵盖项目管理、代码托管、知识管理、持续集成、身份认证等核心功能。Bitbucket 用于 Git 代码仓库管理，Confluence 提供团队知识库与文档协作，Jira Software 与 Jira Service Management 支持敏捷项目管理与IT服务管理，Bamboo 实现 CI/CD 流水线，Crowd 提供统一身份认证与 SSO，Crucible 与 Fisheye 分别用于代码审查与代码搜索浏览。这些产品广泛应用于全球企业软件开发与运维场景，支持高可用集群部署。 该漏洞源于共享库 atlassian\-plugins\-webresource 中 webresource 路由器的双重 URL 解码缺陷以及对“::”序列到“/”的反转义处理，导致绕过 Tomcat 的 URI 规范化检查。攻击者无需认证即可通过构造特殊路径的请求，读取 Web 应用根目录下（包括 WEB\-INF 目录）的指定文件。成功利用可导致配置文件、凭据（JDBC 连接串、密码、API Token、私钥等）泄露，进而实现...

修复建议

暂无

参考链接

https://ti.qianxin.com/vulnerability/detail/510510