漏洞通告
Atlassian Confluence 是由 Atlassian 开发的企业级协作软件。2023年10月31日，Atlassian 官方披露CVE-2023-22518 Atlassian Confluence Data Center & Server 权限绕过漏洞。攻击者可构造恶意请求造成敏感信息泄漏，甚至导致远程代码执行。Atlassian 官方评级严重。请Atlassian Confluence客户尽快升级。
漏洞分析和复现
漏洞POC或EXP
漏洞攻击指纹
请求URL
/json/setup-restore.action
/server-info.action
/json/setup-restore-progress.action
/json/setup-restore-local.action
请求头
X-Atlassian-Token: no-check
fofa指纹
app="ATLASSIAN-Confluence"
app="主页面-Confluence"
app="Log-In-Confluence"
漏洞拦截缓解
1-Atlassian Confluence放置在内网
2-需要放置外网的话，升级之前暂时WAF拦截如下4个路径：
/json/setup-restore.action
/server-info.action
/json/setup-restore-progress.action
/json/setup-restore-local.action
3-时刻监控外网的Confluence资产新增情况
