根據 Atlassian Jira 自我報告的版本號碼，遠端 Web 伺服器上託管的執行個體版本早於 8.4.0。因此會受到多個弱點影響：

 - WikiRenderer 剖析器中存在跨網站指令碼 (XSS) 弱點，遠端攻擊者可利用此弱點，透過特製的要求，在使用者的瀏覽器工作階段中執行任意指令碼。(CVE-2019-8444)

 - /rest/api/2/worklog/list rest 資源中存在資訊洩漏弱點。經驗證的遠端攻擊者可利用此弱點，針對他們沒有檢視權限的問題檢視工作記錄詳細資料。(CVE-2019-8445)

 - /rest/issueNav/1/issueTable rest 資源中存在資訊洩漏弱點。遠端匿名攻擊者可利用此弱點，來區分有效的使用者名稱和無效的使用者名稱。(CVE-2019-8446)

 - /rest/api/latest/groupuserpicker 資源中存在資訊洩漏弱點。未經驗證的遠端攻擊者可惡意利用此弱點來列舉使用者名稱，這是因授權檢查錯誤所致。(CVE-2019-8449)

 - /plugins/servlet/gadgets/makeRequest 資源中存在一個伺服器端要求偽造 (SSRF) 弱點，這是因 JiraWhitelist 類別中的邏輯錯誤所致。遠端攻擊者可透過伺服器端要求偽造 (SSRF) 弱點來存取內部網路資源內容。(CVE-2019-8451)

 -  /rest/api/1.0/render rest 資源中有一個驗證繞過弱點。未經驗證的遠端攻擊者可惡意利用這個因缺乏權限檢查所致的弱點，來判斷是否存在具有特定名稱的附件以及問題金鑰是否有效。(CVE-2019-14995)

 - AccessLogFilter 類別中有一個因快取弱點所致的資訊洩漏弱點。以反向 Proxy 和/或具有快取或 CDN 的負載平衡器設定 Jira 時，遠端匿名攻擊者便可惡意利用此弱點來存取與其他使用者相關的詳細資料，包括其使用者名稱。(CVE-2019-14997)

 - Webwork 動作跨網站要求偽造 (CSRF) 保護機制中有一個跨網站要求偽造 (XSRF) 弱點。遠端攻擊者可從 Jira 執行個體的子網域透過「Cookie 投擲」的方式投擲 CSRF Cookie 來繞過其保護機制，進而惡意利用此弱點。(CVE-2019-14998)

請注意，掃描程式並未測試這些問題，而是僅依據應用程式自我報告的版本號碼做出判斷。

根據 Atlassian Jira 自我報告的版本號碼，遠端 Web 伺服器上主控的執行個體版本為 7.3.17 之前版本，或 8.3.2 之前的 8.0.x 版。因此，該應用程式受到資訊洩漏弱點影響。經驗證的遠端攻擊者可惡意利用此弱點來洩露可能的敏感資訊。

ID	名稱	產品	系列	已發布	已更新	嚴重性
98726	Atlassian Jira < 8.4.0 多個弱點	Web App Scanning	Component Vulnerability	2019/10/9	2023/3/14	medium
128324	Atlassian JIRA worklog 資訊洩露	Nessus	CGI abuses	2019/8/29	2024/6/5	medium

偵測

搜尋 Plugin

medium

medium