La vulnerabilidad CVE-2012-2926 afecta a varias versiones de productos Atlassian: JIRA (antes de 5.0.1), Confluence (antes de 3.5.16, 4.0.x antes de 4.0.7 y 4.1.x antes de 4.1.10), FishEye y Crucible (antes de 2.5.8, 2.6.x antes de 2.6.8 y 2.7.x antes de 2.7.12), Bamboo (antes de 3.3.4 y 3.4.x antes de 3.4.5) y Crowd (antes de 2.0.9, 2.1.x antes de 2.1.2, 2.2.x antes de 2.2.9, 2.3.x antes de 2.3.7 y 2.4.x antes de 2.4.1). El fallo radica en que estos productos no restringen adecuadamente las capacidades de los parsers XML de terceros, lo que permite a atacantes remotos leer archivos arbitrarios del servidor o provocar una denegación de servicio por consumo excesivo de recursos mediante vectores no especificados.
Con una puntuación CVSS de 9.1 y una probabilidad de explotación del 66.6% según EPSS (percentil 99%), la amenaza es crítica. Aunque Shodan solo indexa 3 hosts expuestos actualmente, la amplia base instalada de estos productos en entornos corporativos y la facilidad de explotación remota hacen que la actualización inmediata a las versiones parcheadas sea esencial para evitar fugas de información o interrupciones del servicio.
| CVE | CVE-2012-2926 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.1 / 10 |
| EPSS | 66.6% en 30 días (percentil 99) |
| Exposición (Shodan) | 3 host(s) expuesto(s) en internet ahora mismo |