CVE-2019-11580

КритическийОпубликовано

Уязвимость удаленного выполнения кода в Atlassian Crowd и Crowd Data Center

Опубликовано: 3 июн. 2019 г.
Обновлено: 21 окт. 2025 г.
Назначение CNA: atlassian
Наблюдены доказательства: 3 нояб. 2021 г.

Первичный CVSS

9,8/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Оценка вероятности EPSS

95,4 %

Высокий · следующие 30 дней

Процентиль: 99,9 %
Дата модели: 15 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

CISA Известно, что эксплуатация

Эта CVE присутствует в каталоге известных эксплуатируемых уязвимостей CISA.

Резюме

В Atlassian Crowd и Crowd Data Center плагин разработки pdkinstall был ошибочно включён в релизных сборках. Злоумышленники, которые могут отправлять неаутентифицированные или аутентифицированные запросы к экземпляру Crowd или Crowd Data Center, могут использовать эту уязвимость для установки произвольных плагинов, что позволяет удалённо выполнять код в системах, работающих на уязвимой версии Crowd или Crowd Data Center. Все версии Crowd от версии 2.1.0 до 3.0.5 (исправленная версия для 3.0.x), от версии 3.1.0 до 3.1.6 (исправленная версия для 3.1.x), от версии 3.2.0 до 3.2.8 (исправленная версия для 3.2.x), от версии 3.3.0 до 3.3.5 (исправленная версия для 3.3.x) и от версии 3.4.0 до 3.4.4 (исправленная версия для 3.4.x) подвержены этой уязвимости.

Источники

Данные репозиториев: Файлы: 2 · Репозитории: 2

1 Модуль1 Шаблон

Atlassian Crowd and Crowd Data Center - Unauthenticated Remote Code ExecutionШаблон
http/cves/2019/CVE-2019-11580.yaml
Nuclei Templates
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: 837b883e85c1Связанный инструмент
Заявленные условия
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
Atlassian Crowd pdkinstall Unauthenticated Plugin Upload RCEМодуль
modules/exploits/multi/http/atlassian_crowd_pdkinstall_plugin_upload_rce.rb
Metasploit Framework modules
ЭксплойтНаблюдены доказательства: 26 сент. 2026 г.Ревизия: b22ce1fbae63Связанный инструмент
Заявленные условия
- platform: Java($.exploit_multi/http/atlassian_crowd_pdkinstall_plugin_upload_rce.platform)
- verification: check_declared($.exploit_multi/http/atlassian_crowd_pdkinstall_plugin_upload_rce.check)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.