Affected versions of Atlassian Jira Server and Data Center allow anonymous remote attackers to view private project and filter names via an

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• atlassian jiraдо 8.13.12
• atlassian jira server8.14.0 и новее · до 8.20.0
• atlassian jira software data centerдо 8.13.12
• atlassian jira software data center8.14.0 и новее · до 8.20.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (atlassian). Не зависят от анализа CPE в NVD и обычно опережают его.

• Atlassian Jira Data Center

  • unspecified и новее · до 8.13.12затронута
  • 8.14.0 и новее · до unspecifiedзатронута
  • unspecified и новее · до 8.20.0затронута

• Atlassian Jira Server

  • unspecified и новее · до 8.13.12затронута
  • 8.14.0 и новее · до unspecifiedзатронута
  • unspecified и новее · до 8.20.0затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2019-8442The CachingResourceDownloadRewriteRule class in Jira before version 7.13.4, and from version 8.0.0 before version 8.0.4, and from version 8.
  48В плане
• CVE-2019-8449The /rest/api/latest/groupuserpicker resource in Jira before version 8.4.0 allows remote attackers to enumerate usernames via an information
  46В плане
• CVE-2017-5983The JIRA Workflow Designer Plugin in Atlassian JIRA Server before 6.3.0 improperly uses an XML parser and deserializer, which allows remote
  44В плане
• CVE-2020-14172This issue exists to document that a security improvement in the way that Jira Server and Data Center use velocity templates has been implem
  40В плане
• CVE-2019-20409The way in which velocity templates were used in Atlassian Jira Server and Data Center prior to version 8.8.0 allowed remote attackers to ga
  40В плане
• CVE-2019-3403The /rest/api/2/user/picker rest resource in Jira before version 7.13.3, from version 8.0.0 before version 8.0.4, and from version 8.1.0 bef
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.