Alcance e impacto
A falha é uma leitura de arquivos no diretório da aplicação (CWE-552) sem autenticação. A exploração exige conhecer o caminho exato do arquivo, mas não permite enumerar o sistema. O fornecedor classifica como crítica (CVSS 4.0 9,3); o NVD publica 7,5 na métrica 3.1.
Correções principais: Bitbucket 10.5.1, 10.2.8 ou 9.4.26; Confluence 10.2.19 ou 9.2.26; Jira Software 11.3.12, 10.3.26 ou 9.12.40; Jira Service Management 11.3.12, 10.3.26 ou 5.12.40; Bamboo 12.1.12 ou 10.2.24; Crowd 7.2.4, 7.1.7, 7.0.3 ou 6.3.7; Crucible e Fisheye 4.9.15.
Ação imediata
- Atualize cada produto para a versão corrigida da sua linha e confirme o build em execução.
- Restrinja instâncias que não precisam de acesso anônimo e revise a exposição pública de Bitbucket, Confluence e Jira.
- Rotacione credenciais de banco, tokens de integração e chaves que estejam em arquivos legíveis pelo processo.
- Preserve logs de acesso à aplicação e de proxy reverso para a investigação.
Investigação e recuperação
Procure requisições a caminhos sensíveis do diretório da aplicação, leituras incomuns de arquivos de configuração e uso de credenciais após a janela de exposição. O PoC do watchTowr é o código de referência; existe também uma implementação independente em tc4dy/CVE-2026-21589-PoC-Exploit. Use qualquer PoC apenas em laboratório autorizado.