JVNDB-2026-002587

AtlassianのCrowdにおけるXML 外部エンティティの脆弱性

この高重大度のXXE（XML外部エンティティインジェクション）脆弱性は、Crowd Data CenterおよびServerのバージョン7.1.0で導入されました。このXXE脆弱性はCVSSスコア7.9であり、認証済みの攻撃者がローカルおよびリモートのコンテンツにアクセスできるようにします。この脆弱性は、機密性に高い影響、完全性に低い影響、可用性に高い影響を与え、ユーザーの操作は不要です。Atlassianは、Crowd Data CenterおよびServerの利用者に最新バージョンへのアップグレードを推奨しています。もしアップグレードが不可能な場合は、指定されたサポート対象の修正版のいずれかにインスタンスをアップグレードすることを推奨します。* Crowd Data CenterおよびServer 7.1では、バージョン7.1.3以上のリリースにアップグレードしてください。リリースノート（https://confluence.atlassian.com/crowd/crowd-release-notes-199094.html）を参照してください。最新バージョンはダウンロードセンター（https://www.atlassian.com/software/crowd/download-archive）から入手可能です。この脆弱性はAtlassianの内部プログラムを通じて報告されました。

Atlassian

• Crowd 7.1.0 以上 7.1.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Atlassian

• Atlassian : Security Bulletin - January 20 2026 | Atlassian Support | Atlassian Documentation
• Atlassian : [CWD-6453] XXE (XML External Entity Injection) in Crowd Data Center and Server - Create and track feature requests for Atlassian products.

1. XML 外部エンティティ参照の不適切な制限(CWE-611) [その他]

1. CVE-2026-21569

1. National Vulnerability Database (NVD) : CVE-2026-21569

• [2026年02月04日]
    掲載