CVE-2022-36804highbajo ataqueCWE-78CWE-88

CVE-2022-36804: fallo de gravedad alta en Atlassian Bitbucket Server

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Bitbucket Server+ Monitorear Bitbucket Data Center

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 8.8epss 99%
de la publicación al arma13 días
Publicada en NVD25 ago
1ª PoC+13d
metasploit24 ago
CISA KEV+36d
Acción exigida por CISAplazo federal: 2022-10-21

Apply updates per vendor instructions.

En resumen

Múltiples puntos de acceso de API en Atlassian Bitbucket Server y Data Center permiten que atacantes con acceso de lectura al repositorio ejecuten código arbitrario mediante solicitudes HTTP maliciosas. Esto posibilita la ejecución remota de código en sistemas afectados, comprometiendo la seguridad del servidor.

Detalle técnico

Vulnerabilidad de Ejecución Remota de Código (RCE) en endpoints de API de Bitbucket explotable mediante solicitudes HTTP malformadas (CWE-78, CWE-88). El ataque requiere solo permisos de lectura en un repositorio; la explotación exitosa permite la ejecución de código arbitrario en el servidor. Afecta versiones sin parches desde 7.0.0 hasta 8.3.0.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Multiple API endpoints in Atlassian Bitbucket Server and Data Center 7.0.0 before version 7.6.17, from version 7.7.0 before version 7.17.10, from version 7.18.0 before version 7.21.4, from version 8.0.0 before version 8.0.3, from version 8.1.0 before version 8.1.3, and from version 8.2.0 before version 8.2.2, and from version 8.3.0 before 8.3.1 allows remote attackers with read permissions to a public or private Bitbucket repository to execute arbitrary code by sending a malicious HTTP request. This vulnerability was reported via our Bug Bounty Program by TheGrandPew.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Atlassian · Bitbucket Data CenterAtlassian · Bitbucket Server
PoCs públicas encontradas — 42
exploitdbwww.exploit-db.com/exploits/51040no verificadogithubgithub.com/notdls/CVE-2022-36804★ 35githubgithub.com/notxesh/CVE-2022-36804-PoC★ 18githubgithub.com/benjaminhays/CVE-2022-36804-PoC-Exploit★ 16githubgithub.com/SystemVll/CVE-2022-36804★ 12githubgithub.com/sh4den/CVE-2022-36804★ 12githubgithub.com/walnutsecurity/cve-2022-36804★ 8githubgithub.com/kljunowsky/CVE-2022-36804-POC★ 7githubgithub.com/tahtaciburak/cve-2022-36804★ 7githubgithub.com/ColdFusionX/CVE-2022-36804★ 7githubgithub.com/Chocapikk/CVE-2022-36804-ReverseShell★ 4githubgithub.com/Vulnmachines/bitbucket-cve-2022-36804★ 3githubgithub.com/khal4n1/CVE-2022-36804★ 3githubgithub.com/DanielHallbro/CVE-2022-36804-Bitbucket-RCE-Analysis★ 0githubgithub.com/JohanGabrielson/bitbucket-test★ 0githubgithub.com/0xEleven/CVE-2022-36804-ReverseShell★ 0githubgithub.com/Junohea/cve-2022-36804★ 0githubgithub.com/devengpk/CVE-2022-36804★ 0githubgithub.com/JRandomSage/CVE-2022-36804-MASS-RCE★ 0githubgithub.com/imbas007/Atlassian-Bitbucket-CVE-2022-36804★ 0githubgithub.com/asepsaepdin/CVE-2022-36804★ 0vulncheckvulncheck.com/xdb/f437b6e9f563no verificadocve_referencepacketstormsecurity.com/files/168470/Bitbucket-Git-Command-Injection.htmlno verificadocve_referencepacketstormsecurity.com/files/171453/Bitbucket-7.0.0-Remote-Command-Execution.htmlno verificadovulncheckvulncheck.com/xdb/c0b121d2bb4fno verificadovulncheckvulncheck.com/xdb/8a763ff2ccf9no verificadovulncheckvulncheck.com/xdb/0b7d76c7611bno verificadovulncheckvulncheck.com/xdb/e6120ad8c2fano verificadovulncheckvulncheck.com/xdb/9acca76e1447no verificadovulncheckvulncheck.com/xdb/af7d6ba3c236no verificadovulncheckvulncheck.com/xdb/9828f81b9d39no verificadovulncheckvulncheck.com/xdb/232d2df2698dno verificadovulncheckvulncheck.com/xdb/6e85e1c51f7eno verificadovulncheckvulncheck.com/xdb/0efacd5def82no verificadovulncheckvulncheck.com/xdb/78e356140b29no verificadovulncheckvulncheck.com/xdb/8045fbcc75adno verificadovulncheckvulncheck.com/xdb/a3d1dc5fac30no verificadovulncheckvulncheck.com/xdb/104d7f8f5541no verificadovulncheckvulncheck.com/xdb/c9cee1010577no verificadovulncheckvulncheck.com/xdb/4cf25016ecd3no verificadovulncheckvulncheck.com/xdb/7b49d3280979no verificadovulncheckvulncheck.com/xdb/b4359a9ec925no verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Atlassian Bitbucket Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-21589CRITICALCVE-2026-21589EPSS 99.7%KEVCVE-2022-43781CRITICALCVE-2022-43781EPSS 98.0%CVE-2022-26133CRITICALCVE-2022-26133EPSS 70.6%CVE-2023-22513HIGHCVE-2023-22513EPSS 15.3%CVE-2019-15000—CVE-2019-15000EPSS 7.8%CVE-2022-26136CRITICALCVE-2022-26136EPSS 5.7%