- Aktif istismar
- Yama var
- CWE-22
CVE-2019-3398
Atlassian Confluence Server ve Data Center'da dizin geçiş (path traversal) açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2749 gün
- Kaydı açan
- atlassian
ÖzetTürkçe
Confluence Server ve Data Center, downloadallattachments kaynağında bir dizin geçiş (path traversal) açığı içermektedir. Sayfalara ve/veya blog yazılarına ek dosya ekleme yetkisine sahip ya da yeni bir alan veya kişisel alan oluşturabilen ya da bir alan için 'Admin' yetkisine sahip uzak bir saldırgan, bu dizin geçiş açığını kullanarak dosyaları keyfi konumlara yazabilir; bu da açığı bulunan Confluence Server veya Data Center sürümlerini çalıştıran sistemlerde uzaktan kod çalıştırmaya yol açabilir. 2.0.0 ile 6.6.13 öncesi (6.6.x için düzeltilmiş sürüm), 6.7.0 ile 6.12.4 öncesi (6.12.x için düzeltilmiş sürüm), 6.13.0 ile 6.13.4 öncesi (6.13.x için düzeltilmiş sürüm), 6.14.0 ile 6.14.3 öncesi (6.14.x için düzeltilmiş sürüm) ve 6.15.0 ile 6.15.2 öncesindeki tüm Confluence Server sürümleri bu açıktan etkilenmektedir.
Kaynaktaki açıklama (İngilizce)
Confluence Server and Data Center had a path traversal vulnerability in the downloadallattachments resource. A remote attacker who has permission to add attachments to pages and / or blogs or to create a new space or a personal space or who has 'Admin' permissions for a space can exploit this path traversal vulnerability to write files to arbitrary locations which can lead to remote code execution on systems that run a vulnerable version of Confluence Server or Data Center. All versions of Confluence Server from 2.0.0 before 6.6.13 (the fixed version for 6.6.x), from 6.7.0 before 6.12.4 (the fixed version for 6.12.x), from 6.13.0 before 6.13.4 (the fixed version for 6.13.x), from 6.14.0 before 6.14.3 (the fixed version for 6.14.x), and from 6.15.0 before 6.15.2 are affected by this vulnerability.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Atlassian Confluence | ≥ 2.0.0 | – |
| < 6.6.13 | 6.6.13 | |
| ≥ 6.7.0 | – | |
| < 6.12.4 | 6.12.4 | |
| ≥ 6.13.0 | – | |
| < 6.13.4 | 6.13.4 | |
| ≥ 6.14.0 | – | |
| < 6.14.3 | 6.14.3 | |
| ≥ 6.15.0 | – | |
| < 6.15.2 | 6.15.2 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- jira.atlassian.com/browse/CONFSERVER-58102 Diğer
- seclists.org/bugtraq/2019/Apr/33 Diğer
- packetstormsecurity.com/…fluence-Server-Data-Center-Path-Traversal.html Diğer
- securityfocus.com/bid/108067 Diğer
- packetstormsecurity.com/…ian-Confluence-6.15.1-Directory-Traversal.html Diğer
- packetstormsecurity.com/…ian-Confluence-6.15.1-Directory-Traversal.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.