PT-2020-17841 · Atlassian · Confluence

Alvaro Munoz + 1 · Publicado 2020-07-01 · Atualizado 2021-12-13 · CVE-2020-4027

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do Atlassian Confluence Server e Data Center anteriores à 7.4.5

Versões do Atlassian Confluence Server e Data Center da 7.5.0 à 7.5.0

Descrição

A vulnerabilidade permite que invasores remotos com permissões de administração do sistema contornem as medidas de mitigação contra injeção de modelos Velocity por meio de uma vulnerabilidade de injeção em macros personalizadas do usuário.

Recomendações

Para versões anteriores à 7.4.5, atualize para a versão 7.4.5 ou posterior.

Para a versão 7.5.0, atualize para a versão 7.5.1 ou posterior.

Como solução temporária, considere restringir o acesso a macros de usuário personalizadas até que um patch esteja disponível.

Correção

Special Elements Injection

Enumeração de Fraquezas

CWE-74

Identificadores relacionados

CVE-2020-4027

Produtos afetados

Confluence

Referências · 5

• https://nvd.nist.gov/vuln/detail/CVE-2020-4027 · Nota de Segurança
• https://jira.atlassian.com/browse/CONFSERVER-59898 · Aviso do Fabricante
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-4027 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-4027 · Aviso do Fabricante
• https://t.me/cvenotify/9387 · Publicação no Telegram