Atlassian ha lanzado un boletín advirtiendo sobre una reciente vulnerabilidad de severidad alta que afecta a Confluence Data Server y Confluence Server. Esta es identificada como CVE-2024-21678 y podría permitirle a un atacante autenticado ejecutar código arbitrario de HTML o JavaScript en el navegador de la víctima. Además, en el mismo boletín se mencionan otras 7 vulnerabilidades identificadas en 2023 que, aunque tienen una puntuación CVSS menor a la primera mencionada, siguen siendo de severidad alta y afectan a los mismos productos de Confluence Data Server y Confluence Server. Este boletín explicará las puntuaciones CVSS, impactos potenciales, productos afectados, y versiones con parches.
Vulnerabilidades
- CVE-2024-21678: Con una puntuación CVSS de 8.5, es una vulnerabilidad XSS almacenada que podría permitirle a un atacante autenticado ejecutar código arbitrario de HTML o JavaScript en el navegador de la víctima, lo que podría afectar la confidencialidad e integridad y no requiere interacción del usuario.
| CVE ID (Puntuación CVSS) |
Resumen |
| CVE-2023-5072 (CVSS 7.5) |
DoS (Denial of Service) Dependencia org.json:json en Confluence Data Center and Server |
| CVE-2023-6481 (CVSS 7.5) |
DoS (Denial of Service) Dependencia Dependencia ch.qos.logback:logback-classic en Confluence Data Center and Server |
| CVE-2023-6378 (CVSS 7.5) |
DoS (Denial of Service) Dependencia ch.qos.logback:logback-classic en Confluence Data Center and Server |
| CVE-2023-46589 (CVSS 7.5) |
Request Smuggleng org.apache.tomcat:tomcat-catalena en Confluence Data Center and Server |
| CVE-2023-39410 (CVSS 7.5) |
DoS (Denial of Service) Dependencia org.apache.avro:avro en Confluence Data Center and Server |
| CVE-2023-41835 (CVSS 7.5) |
DoS (Denial of Service) Dependencia org.apache.struts:struts2-core en Confluence Data Center and Server |
| CVE-2023-2976 (CVSS 7.1) |
Dependencia com.google.guava:guava en Confluence Data Center and Server |
Las vulnerabilidades mencionadas afectan a los siguientes productos de Confluence Data and Server.
| Versiones afectadas |
Versiones con parche |
- De 8.7.0 a 8.7.1
- De 8.6.0 a 8.6.2
- De 8.5.0 (LTS) a 8.5.4 (LTS)
- De 8.4.0 a 8.4.5
- De 8.3.0 a 8.3.4
- De 8.2.0 a 8.2.3
- De 8.1.0 a 8.1.4
- De 8.0.0 a 8.0.4
- De 7.20.0 a 7.20.3
- De 7.19.0 (LTS) a 7.19.18 (LTS)
- De 7.18.0 a 7.18.3
- De 7.17.0 a 7.17.5
- Cualquier versión anterior
|
- 8.8.0 (recomendada), o 8.7.2 (Solo Data Center)
- 8.5.6 (LTS) o 8.5.5 (LTS)
- 7.19.19 (LTS)
|
