KnowSafe 安全预警：Atlassian 资源下载路径遍历漏洞（CVE-2026-21589）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2026-21589 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Atlassian Jira、Confluence、Bitbucket、Bamboo、Crowd、Crucible 和 Fisheye 是用于问题跟踪、知识协作、代码托管、持续集成、身份管理和代码评审的自托管企业软件。2026年10月披露路径遍历漏洞。远程攻击者无需登录，即可通过资源下载功能绕过路径检查，读取 Web 应用根目录内路径已知的文件，不能列出目录内容，导致敏感信息泄漏。Web 应用根目录中存放敏感配置时，影响进一步升高。受影响的云版本已完成修复。

受影响版本：Jira Software Data Center 9.12.40、10.3.26、11.3.12 之前版本，Jira Service Management Data Center 5.12.40、10.3.26、11.3.12 之前版本，Confluence Data Center 9.2.26、10.2.19 之前版本，Bitbucket Data Center 9.4.26、10.2.8、10.5.1 之前版本，Bamboo Data Center 10.2.24、12.1.12 之前版本，Crowd Data Center 6.3.7、7.0.3、7.1.7、7.2.4 之前版本，Crucible 与 Fisheye 4.9.15 之前版本。

影响范围

应用：atlassian bamboo（影响面 Up to (excluding) 12.1.12）

应用：atlassian bamboo（影响面 Up to (excluding) 10.2.24）

应用：atlassian bitbucket_data_center（影响面 Up to (excluding) 10.5.1）

应用：atlassian bitbucket_data_center（影响面 Up to (excluding) 9.4.26）

应用：atlassian bitbucket_data_center（影响面 Up to (excluding) 10.2.8）

应用：atlassian bitbucket_server（影响面 Up to (including) 8.14.6）

应用：atlassian confluence_data_center（影响面 Up to (excluding) 9.2.26）

应用：atlassian confluence_data_center（影响面 Up to (excluding) 10.2.19）

……另有 12 项受影响环境，详见官方公告

解决方案

1、升级至所使用产品的修复版本：Jira Software Data Center 9.12.40、10.3.26 或 11.3.12，Jira Service Management Data Center 5.12.40、10.3.26 或 11.3.12，Confluence Data Center 9.2.26 或 10.2.19，Bitbucket Data Center 9.4.26、10.2.8 或 10.5.1，Bamboo Data Center 10.2.24 或 12.1.12，Crowd Data Center 6.3.7、7.0.3、7.1.7 或 7.2.4，Crucible 与 Fisheye 4.9.15。

2、利用安全组设置其仅对可信地址开放。

3、暂不能升级时，将实例移出公网，或在反向代理、Web 应用防火墙或应用服务器上启用厂商给出的临时拦截规则。