[CVE-2019-20099]所谓的测试POP3服务连通性的CSRF

讲了Jira的CSRF简单的防御方法，比如referer的校验，和xsrf token的校验。但是Jira并没有对所有敏感请求都进行验证。比如验证POP3 服务器连通性的这个功能就没有。

由于这个测试POP3 服务器连通性的功能需要管理员权限，所以这个csrf脚本需要管理员触发。散了吧。
攻击过程需要

参考：
https://medium.com/tenable-techblog/exploiting-jira-for-host-discovery-43be3cddf023