Atlassian JIRA < 8.3.2 多个漏洞

medium Nessus 插件 ID 129589

语言：

简介

远程 Web 服务器托管一个受到多个漏洞影响的 Web 应用程序

描述

根据其自我报告的版本号，远程 Web 服务器上托管的 Atlassian JIRA 版本为 7.6 < 8.3.2。因此，该应用程序受到以下漏洞的影响：

- 对 Jira 中 /rest/issueNav/1/issueTable 资源的错误授权检查会允许远程攻击者枚举用户名。(CVE-2019-8446)

- 由于 ServiceExecutor，Jira 中存在跨站请求伪造 (XSRF) 漏洞。远程攻击者可利用此漏洞触发导出文件创建。(CVE-2019-8447)

- 存在跨站脚本 (XSS) 漏洞，这是未正确验证问题优先顺序的优先级图标 url 所致。未经身份验证的远程攻击者可利用此问题，通过诱使用户单击特别构建的 URL，在用户的浏览器会话中执行任意脚本代码。(CVE-2019-11584)
- Atlassian Troubleshooting and Support Tools 插件中存在信息泄露漏洞，这是缺少授权检查所致。经过身份验证的远程攻击者可利用此问题，发起定期日志扫描，并将结果发送至泄露配置信息的用户指定电子邮件地址。(CVE-2019-15005)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。