A Atlassian corrigiu a CVE-2026-21589, falha com nota 9.3 na escala CVSS que permite a um invasor sem nenhuma credencial ler arquivos em oito de seus produtos. A divulgação é de 5 de outubro.
São afetados o Bitbucket, o Confluence, o Jira Software, o Jira Service Management, o Bamboo e o Crowd, nas edições Data Center, além do Crucible e do Fisheye.
O problema é de travessia de diretório. O servidor aceita caminhos manipulados em que os dois pontos de subida aparecem colados a uma barra, a uma contrabarra ou a um par de dois-pontos, inclusive em variantes codificadas na URL.
A leitura tem limites importantes. O invasor precisa saber o nome e o caminho exatos do arquivo que quer, porque a falha não permite listar o conteúdo dos diretórios, e o alcance é a pasta raiz da aplicação web de cada produto.
Isso afasta o cenário de leitura arbitrária, mas não torna o problema pequeno. Arquivos de configuração que ficam em caminho previsível continuam ao alcance de quem conhece o produto.
As correções saíram em versões específicas para cada produto, entre elas a 10.5.1 no Bitbucket, a 10.2.19 no Confluence, a 11.3.12 no Jira Software e no Jira Service Management, a 12.1.12 no Bamboo, a 7.2.4 no Crowd e a 4.9.15 no Crucible e no Fisheye.
A Atlassian afirma que a investigação não encontrou evidência de exploração nos produtos em nuvem. O aviso não diz se houve ataques contra instalações mantidas pelos próprios clientes, que são justamente as atingidas.
