CVE-2022-26138: fallo crítico en Atlassian Questions For Confluence
Publicada el · Actualizada el
100Vexday Risk Score
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
ssvc Actcvss 9.8epss 98%
de la publicación al arma1 días
Publicada en NVD20 jul
1ª PoC+1d
CISA KEV+9d
probabilidad de explotación
98%top 1% de las CVE
explotación observada
síCISA + VulnCheck
6 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2022-08-19
Apply updates per vendor instructions.
En resumen
La aplicación Atlassian Questions For Confluence crea una cuenta de usuario con contraseña fija que cualquiera puede usar para iniciar sesión en Confluence y acceder al contenido. Un atacante que conozca esta contraseña puede suplantar a un usuario legítimo y ver información sensible.
Detalle técnico
Vulnerabilidad CWE-798 de credenciales hardcoded: La aplicación crea una cuenta 'disabledsystemuser' en el grupo confluence-users con contraseña fija durante la instalación (versiones 2.7.34, 2.7.35, 3.0.2). Un atacante remoto no autenticado puede usar estas credenciales para autenticarse y acceder a todos los recursos disponibles para el grupo confluence-users sin autorización.
Resumen generado y traducido por IA a partir de la descripción oficial.
The Atlassian Questions For Confluence app for Confluence Server and Data Center creates a Confluence user account in the confluence-users group with the username disabledsystemuser and a hardcoded password. A remote, unauthenticated attacker with knowledge of the hardcoded password could exploit this to log into Confluence and access all content accessible to users in the confluence-users group. This user account is created when installing versions 2.7.34, 2.7.35, and 3.0.2 of the app.