Određeni Atlassianovi proizvodi na vlastitim poslužiteljima omogućavali su pristup pojedinim datotekama bez prijave. Atlassian je 5. listopada objavio CVE-2026-21589 i ispravke za pogođena izdanja.
Propust se odnosi na datoteke unutar korijenskog direktorija web-aplikacije. Napadač mora znati točan naziv i putanju. Greška ne prikazuje popis sadržaja direktorija. Datoteka ipak može biti izložena ako je njezin naziv predvidljiv.
Među pogođenima su Jira Software, Jira Service Management, Confluence, Bitbucket, Bamboo i Crowd Data Center te Crucible i Fisheye. Upozorenje navodi različite ispravljene verzije za svaki proizvod i granu. Atlassian kaže da je zakrpao pogođene usluge u oblaku i da ondje nije našao dokaze iskorištavanja.
Zasebno istraživanje pokazalo je veći mogući učinak u određenim konfiguracijama s Crowd integracijom. Demonstracija ovisi o postavkama. Pokušaj čitanja datoteke nije dokaz pristupa s administratorskim ovlastima.
