Kerngegevens
- Leverancier
- Atlassian
- Producten
- Bitbucket Data Center
- Confluence Data Center
- Crowd Data Center
- Jira Software Data Center
- Jira Service Management Data Center
- Bamboo Data Center
- Crucible
- Fisheye
- Soort software
- samenwerking
- Getroffen versies
- Bitbucket Data Center vanaf 4.6.0
- Confluence Data Center vanaf 5.10.0
- Crowd Data Center vanaf 2.11.0
- Jira Software Data Center vanaf 7.1.0
- Jira Service Management Data Center vanaf 3.1.0
- Bamboo Data Center vanaf 7.0.1
- Oplossing
- Update beschikbaar
- Opgeloste versie
- Bitbucket Data Center 9.4.26
- Bitbucket Data Center 10.2.8
- Bitbucket Data Center 10.5.1
- Confluence Data Center 9.2.26
- Confluence Data Center 10.2.19
- Crowd Data Center 6.3.7
- Crowd Data Center 7.0.3
- Crowd Data Center 7.1.1
- Crowd Data Center 7.2.4
- Jira Software Data Center 9.12.40
- CVE gepubliceerd
- 5 oktober 2026
- Op de KEV-lijst sinds
- 15 oktober 2026
- Gepubliceerd op LekkenRadar
- 6 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In meerdere Atlassian-producten zit een lek waarmee iemand zonder inloggegevens bepaalde bestanden uit de hoofdmap van de webapplicatie kan opvragen. De aanvaller moet daarvoor wel de exacte naam en het exacte pad van het bestand kennen. Een lijst van de bestanden in een map opvragen kan niet. Volgens Atlassian kunnen er in sommige configuraties gevoelige bestanden bereikbaar zijn, en dat maakt het lek ernstig.
Wie loopt risico?
Je loopt risico als je een van de getroffen Atlassian-producten draait in een versie die dit lek bevat. Het gaat om Bitbucket Data Center, Confluence Data Center, Crowd Data Center, Jira Software Data Center, Jira Service Management Data Center, Bamboo Data Center, Crucible en Fisheye. De aanval kan via het netwerk, zonder inloggen en zonder dat een gebruiker iets hoeft te doen. Of er echt iets gevoeligs te halen valt, hangt af van hoe jouw omgeving is ingericht. Volgens de gegevens is er geen actief misbruik bekend en is er geen publieke exploit.
Wat moet je doen?
Controleer welke versie je gebruikt
Kijk bij elk Atlassian-product in jouw omgeving welke versie draait en vergelijk die met de lijst van getroffen versies.
Update naar een opgeloste versie
Bitbucket Data Center: 9.4.26, 10.2.8 of 10.5.1. Confluence Data Center: 9.2.26 of 10.2.19. Crowd Data Center: 6.3.7, 7.0.3, 7.1.1 of 7.2.4. Jira Software Data Center: 9.12.40, 10.3.26 of 11.3.12. Jira Service Management Data Center: 5.12.40, 10.3.26 of 11.3.12. Bamboo Data Center: 10.2.24 of 12.1.12. Crucible en Fisheye: 4.9.15.
Beperk de bereikbaarheid van je systemen
Kun je nog niet meteen updaten, beperk dan de toegang tot de applicatie vanaf internet totdat de update is geïnstalleerd.
Controleer gevoelige bestanden in de webroot
Kijk of er in de hoofdmap van de webapplicatie bestanden staan met gevoelige gegevens, en verwijder of verplaats die als ze er niet hoeven te staan.
Volg het advies van Atlassian
Raadpleeg de meldingen van Atlassian in de referenties, bijvoorbeeld BSERV-20604 of CONFSERVER-104488, voor details per product.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een kwetsbaarheid voor willekeurige bestandstoegang (arbitrary file access) in de webapplicatie van de genoemde Atlassian-producten. Een niet-geauthenticeerde aanvaller kan via het netwerk specifieke bestanden in de hoofdmap van de webapplicatie opvragen. Voor misbruik is vooraf kennis nodig van de exacte bestandsnaam en het exacte pad. Het uitlezen van mapinhoud is niet mogelijk. De CNA geeft een CVSS 4.0-score van 9,3, met hoge impact op de vertrouwelijkheid. Er is geen CWE-nummer opgegeven.
CVSS-vector (versie 4.0, basisscore 9,3, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 99,5%
- Aanvalscode openbaar
- Ja
- Op de KEV-lijst van CISA
- Sinds 15 oktober 2026
- Deadline van CISA
- 18 oktober 2026
- Gebruikt door ransomwaregroepen
- Niet bekend
Advies van de overheid
- NCSC (Nederland)Kans: Middel · Schade: HoogBekijk advies