CVE-2022-26134

Una vulnerabilidad RCE sin autenticación previa en Atlassian Confluence

Resumen de la CVE

En las versiones afectadas de Confluence Server y Data Center, existe una vulnerabilidad de inyección OGNL que permitiría a un atacante no autenticado ejecutar código arbitrario en una instancia de Confluence Server o Data Center.

Versiones afectadas

• Atlassian Confluence Server
• Atlassian Confluence Data Center
• Versiones > 1.3.0 (< 7.4.17, < 7.13.7, < 7.14.3, < 7.15.2, < 7.16.4, < 7.17.4, < 7.18.1) (Nota: todas estas son versiones individuales; básicamente todas las versiones hasta 7.4.17 son vulnerables, pero 7.13.6 no es más reciente que 7.4.x -> también es vulnerable)

Referencias

• POC de GitHub - Samy Younsi, 3 jun 2022
• Vulnerabilidad de día cero CVE-2022-26134 en el software Atlassian Confluence - guenni, 3 de junio de 2022
• Detalles de CVE - Puntuación CVSS N/D