Atlassian JIRA < 6.0.5 多个漏洞

medium Nessus 插件 ID 73273

语言：

简介

远程 Web 服务器托管一个可能受到多个漏洞影响的 Web 应用程序。

描述

根据其自我报告的版本号，远程 Web 服务器上托管的 Atlassian JIRA 版本低于 6.0.5 版。因此，它可能受到多种漏洞的影响：

- 管理面板中存在一个跨站脚本漏洞，原因是无法审查用户为文件 deleteuserconfirm.jsp 的“name”参数提供的输入。
远程攻击者可利用此漏洞，通过特别构建的请求，在用户浏览器中执行任意脚本代码。(CVE-2013-5319)

- 由于未正确审查用户提供的输入，Importers 插件中存在一个缺陷，允许遍历受限路径之外的内容。未经认证的远程攻击者可利用此漏洞，通过使用构建的请求，在 JIRA 安装中的任意目录内创建文件。此漏洞仅影响 Windows 操作系统上运行的 JIRA。
(CVE-2014-2313)

请注意，JIRA 的 Importers 插件也受到此漏洞的影响；但是，Nessus 未确认已安装此插件。