The Atlassian Application Links plugin is vulnerable to cross-site request forgery (CSRF).

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• atlassian jira7.0.0 и новее · до 8.4.5
• atlassian jira data center7.0.0 и новее · до 8.5.4
• atlassian jira data center8.5.5 и новее · до 8.6.2
• atlassian jira server8.5.5 и новее · до 8.6.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (atlassian). Не зависят от анализа CPE в NVD и обычно опережают его.

• Atlassian Application Links

  • unspecified и новее · до 5.4.21затронута
  • 6.0.0 и новее · до unspecifiedзатронута
  • unspecified и новее · до 6.0.12затронута
  • 6.1.0 и новее · до unspecifiedзатронута
  • unspecified и новее · до 6.1.2затронута
  • 7.0.0 и новее · до unspecifiedзатронута
  • unspecified и новее · до 7.0.2затронута
  • 7.1.0 и новее · до unspecifiedзатронута
  • unspecified и новее · до 7.1.3затронута

• Atlassian Jira Server

  • unspecified и новее · до 8.7.0затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2019-8442The CachingResourceDownloadRewriteRule class in Jira before version 7.13.4, and from version 8.0.0 before version 8.0.4, and from version 8.
  48В плане
• CVE-2019-8449The /rest/api/latest/groupuserpicker resource in Jira before version 8.4.0 allows remote attackers to enumerate usernames via an information
  46В плане
• CVE-2017-5983The JIRA Workflow Designer Plugin in Atlassian JIRA Server before 6.3.0 improperly uses an XML parser and deserializer, which allows remote
  44В плане
• CVE-2020-14172This issue exists to document that a security improvement in the way that Jira Server and Data Center use velocity templates has been implem
  40В плане
• CVE-2019-20409The way in which velocity templates were used in Atlassian Jira Server and Data Center prior to version 8.8.0 allowed remote attackers to ga
  40В плане
• CVE-2019-3403The /rest/api/2/user/picker rest resource in Jira before version 7.13.3, from version 8.0.0 before version 8.0.4, and from version 8.1.0 bef
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Запросы, изменяющие состояние, опираются на сессионный cookie, который браузер отправляет автоматически; то, что запрос пришёл со страницы самого пользователя, не проверяется.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1app.use(session({ cookie: { httpOnly: true } }));2app.post("/account/address", updateAddress);

1app.use(session({ cookie: { httpOnly: true, sameSite: "lax" } }));2app.post("/account/address", csrfProtection, updateAddress);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.