一、漏洞概要

二、漏洞分析

2.1 组件介绍

Atlassian 是一家总部位于澳大利亚的企业软件公司，主要提供 Jira、Confluence、Trello 等团队协作与项目管理工具，帮助企业提升软件开发和工作效率。本漏洞影响Atlassian 多款产品，涉及的产品为：Jira Software、Jira Service Management、Confluence、Bitbucket、Bamboo、Crowd、Crucible和Fisheye。

2.2 漏洞描述

2026年10月8日，深瞳漏洞实验室监测到一则Atlassian系列产品存在任意文件读取漏洞的信息，漏洞编号：CVE-2026-21589，漏洞威胁等级：高危。

该漏洞根源于 Atlassian 多款产品共用的 Web 资源组件 atlassian-plugins-webresource，在该组件的插件资源下载端点(/download/resources/... 路由族)中，资源路径里的 :: 在解析时事实上承担 / 的分隔符角色，而安全校验代码未能将 :: 视为与 / 等价的分隔符，致使 ..:: 形态的穿越序列绕过校验、在后续路径解析中仍按目录跳层生效。远程攻击者只需向该端点发送一条构造好的 GET 请求，全程无需任何身份凭证，即可读取 Tomcat 应用目录范围内任意已知路径的文件；若目标环境接入了 Atlassian Crowd 统一认证，攻击者还可进一步读取 WEB-INF/classes/crowd.properties 中的明文应用凭据，凭其调用 Crowd 用户管理接口创建用户、修改权限等。

三、影响范围

目前受影响的Atlassian产品版本：

Bitbucket Data Center: 9.4.0 < 9.4.26; 10.2.0 < 10.2.8; 10.5.0 < 10.5.1

Confluence Data Center: 9.2.0 < 9.2.26; 10.2.0 < 10.2.19

Jira Software Data Center: 9.12.0 < 9.12.40; 10.3.0 < 10.3.26; 11.3.0 < 11.3.12

Jira Service Management Data Center: 5.12.0 < 5.12.40; 10.3.0 < 10.3.26; 11.3.0 < 11.3.12

Bamboo Data Center: 10.2.0 < 10.2.24; 12.1.0 < 12.1.12

Crowd Data Center: 6.3.0 < 6.3.7; 7.0.0 < 7.0.3; 7.1.0 < 7.1.7; 7.2.0 < 7.2.4

Crucible: < 4.9.15

Fisheye: < 4.9.15

官方修复建议

官方已发布安全公告，由于该漏洞涉及多款产品，请按照公告中不同产品升级方案与临时缓解措施执行。