CVE-2019-11580: Sicherheitslücke für Remote-Codeausführung in Atlassian Crowd und Crowd Data Center | Kitploit

CVE-2019-11580

KritischVeröffentlicht

Sicherheitslücke für Remote-Codeausführung in Atlassian Crowd und Crowd Data Center

Veröffentlicht: 03.06.2019
Aktualisiert: 21.10.2025
CNA zuweisen: atlassian
Beweise beobachtet: 03.11.2021

Primäres CVSS

9,8/ 10Kritisch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

95,4 %

Hoch · nächste 30 Tage

Perzentil: 99,9 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

CISA bekanntermaßen ausgenutzt

Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.

Zusammenfassung

Bei Atlassian Crowd und Crowd Data Center war das Entwicklungs-Plugin pdkinstall in Release-Builds fälschlicherweise aktiviert. Angreifer, die in der Lage sind, nicht authentifizierte oder authentifizierte Anfragen an eine Crowd- oder Crowd-Data-Center-Instanz zu senden, können diese Schwachstelle ausnutzen, um beliebige Plugins zu installieren, was Remote Code Execution auf Systemen ermöglicht, auf denen eine anfällige Version von Crowd oder Crowd Data Center läuft. Alle Versionen von Crowd von Version 2.1.0 bis vor 3.0.5 (der behobenen Version für 3.0.x), von Version 3.1.0 bis vor 3.1.6 (der behobenen Version für 3.1.x), von Version 3.2.0 bis vor 3.2.8 (der behobenen Version für 3.2.x), von Version 3.3.0 bis vor 3.3.5 (der behobenen Version für 3.3.x) und von Version 3.4.0 bis vor 3.4.4 (der behobenen Version für 3.4.x) sind von dieser Schwachstelle betroffen.

Quellen

CVE-2019-11580Exploit
Python-Exploit für CVE-2019-11580, eine Sicherheitslücke zur Remote-Code-Ausführung in Atlassian Crowd und Crowd Data Center. Lädt ein bösartiges Plugin hoch, um Shell-Zugriff auf den Zielserver zu erlangen.
CVE-2019-11580Exploit
Eine CVE-2019-11580-Shell

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.