CVE-2023-22518

Critique9.8 Publiée le 31 oct. 2023

Toutes les versions de Confluence Data Center et Server sont affectées par cette vulnérabilité non exploitée. Cette vulnérabilité d'autorisation incorrecte permet à un attaquant non authentifié de réinitialiser Confluence et de créer un compte administrateur de l'instance Confluence. Grâce à ce compte, un attaquant peut ensuite effectuer toutes les actions administratives disponibles pour un administrateur de l'instance Confluence, entraînant, sans s'y limiter, une perte totale de confidentialité, d'intégrité et de disponibilité. Les sites Atlassian Cloud ne sont pas affectés par cette vulnérabilité. Si votre site Confluence est accessible via un domaine atlassian.net, il est hébergé par Atlassian et n'est pas vulnérable à ce problème.

Activement exploitée

Dans le catalogue CISA des vulnérabilités exploitées depuis le 7 nov. 2023
Les agences fédérales américaines doivent la corriger avant le 28 nov. 2023 (BOD 22-01)
Première attaque observée 1 jour après la divulgation
Confirmée par des capteurs, pas seulement par des signalements
Utilisée dans des campagnes de rançongiciel

Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.

Source : CISA KEV · 1 nov. 2026 31 oct. 2026 31 oct. 2026 30 oct. 2026 29 oct. 2026 29 oct. 2026

Score CVSS9.8 / 10CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Type de faiblesse (CWE)CWE-863, CWE-863

Éditeursatlassian