Atlassian Confluence 9.0.1 < 9.0.2 / 9.2.5 < 9.2.15 / 9.5.1 < 10.2.7 (CONFSERVER-102542)

high Nessus 插件 ID 305301

语言：

简介

远程 Atlassian Confluence 主机缺少安全更新。

描述

远程主机上运行的 Atlassian Confluence Server 版本受到公告 CONFSERVER-102542 中提及的漏洞的影响。

- Glob 通过 shell 使用的模式来匹配文件。自版本 10.2.0 到低于 10.5.0 和 11.1.0的版本glob CLI 的 -c/--cmd 选项中包含命令注入漏洞该漏洞允许在处理带有恶意名称的文件时执行任意命令。当 glob -c <command> <patterns> 使用时匹配的文件名会通过 shell: true 传递到 shell从而使文件名中的 shell 元字符能够以用户或 CI 帐户权限触发命令注入并实现任意代码执行。已在版本 10.5.0 和 11.1.0 中修补此问题。(CVE-2025-64756)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级至 Atlassian Confluence 9.0.2、9.2.15、10.2.7 或更新版本。

另见

https://jira.atlassian.com/browse/CONFSERVER-102542

插件详情

严重性: High

ID: 305301

文件名: confluence_confserver-102542.nasl

版本: 1.1

类型: Combined

代理: windows, macosx, unix

系列: CGI abuses

发布时间: 2026/4/8

最近更新时间: 2026/4/8

配置: 启用全面检查 (optional)

支持的传感器: Nessus Agent, Nessus

Enable CGI Scanning: true

风险信息

VPR

风险因素: Medium

分数: 6.7

CVSS v2

风险因素: High

基本分数: 7.1

时间分数: 5.6

矢量: CVSS2#AV:N/AC:H/Au:S/C:C/I:C/A:C

CVSS 分数来源: CVE-2025-64756

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.7

矢量: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

漏洞信息

CPE: cpe:/a:atlassian:confluence

必需的 KB 项: installed_sw/Atlassian Confluence

可利用: true

易利用性: Exploits are available

补丁发布日期: 2026/3/11

漏洞发布日期: 2025/11/17

参考资料信息

CVE: CVE-2025-64756