CVSS: 9.8EPSS: 0%CPEs: 2EXPL: 0CVE-2021-43958
https://notcve.org/view.php?id=CVE-2021-43958
Various rest resources in Fisheye and Crucible before version 4.8.9 allowed remote attackers to brute force user login credentials as rest resources did not check if users were beyond their max failed login limits and therefore required solving a CAPTCHA in addition to providing user credentials for authentication via a improper restriction of excess authentication attempts vulnerability. Varios recursos de reposo en Fisheye y Crucible versiones anteriores a 4.8.9 permitían a atacantes remotos forzar las credenciales de inicio de sesión de usuarios, ya que los recursos de reposo no comprobaban si los usuarios estaban más allá de sus límites máximos de inicio de sesión fallido y, por lo tanto, requerían resolver un CAPTCHA además de proporcionar las credenciales de usuario para la autenticación por medio de una vulnerabilidad de restricción inapropiada del exceso de intentos de autenticación • https://jira.atlassian.com/browse/CRUC-8523 https://jira.atlassian.com/browse/FE-7387 • CWE-307: Improper Restriction of Excessive Authentication Attempts •
CVSS: 7.5EPSS: 0%CPEs: 2EXPL: 0CVE-2021-43957
https://notcve.org/view.php?id=CVE-2021-43957
Affected versions of Atlassian Fisheye & Crucible allowed remote attackers to browse local files via an Insecure Direct Object References (IDOR) vulnerability in the WEB-INF directory and bypass the fix for CVE-2020-29446 due to a lack of url decoding. The affected versions are before version 4.8.9. Las versiones afectadas de Atlassian Fisheye y Crucible permitían a atacantes remotos navegar por archivos locales por medio de una vulnerabilidad de Insecure Direct Object References (IDOR) en el directorio WEB-INF y omitir la corrección de CVE-2020-29446 debido a una falta de decodificación de url. Las versiones afectadas son anteriores a la versión 4.8.9 • https://jira.atlassian.com/browse/CRUC-8524 https://jira.atlassian.com/browse/FE-7388 • CWE-639: Authorization Bypass Through User-Controlled Key •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2021-43956
https://notcve.org/view.php?id=CVE-2021-43956
The jQuery deserialize library in Fisheye and Crucible before version 4.8.9 allowed remote attackers to to inject arbitrary HTML and/or JavaScript via a prototype pollution vulnerability. La biblioteca jQuery deserialize en Fisheye y Crucible versiones anteriores a 4.8.9, permitía a atacantes remotos inyectar HTML y/o JavaScript arbitrario por medio de una vulnerabilidad de contaminación de prototipos • https://jira.atlassian.com/browse/CRUC-8531 https://jira.atlassian.com/browse/FE-7395 • CWE-1321: Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2021-43955
https://notcve.org/view.php?id=CVE-2021-43955
The /rest-service-fecru/server-v1 resource in Fisheye and Crucible before version 4.8.9 allowed authenticated remote attackers to obtain information about installation directories via information disclosure vulnerability. El recurso /rest-service-fecru/server-v1 en Fisheye y Crucible versiones anteriores a 4.8.9, permitía a atacantes remotos autenticados obtener información sobre los directorios de instalación por medio de una vulnerabilidad de divulgación de información • https://jira.atlassian.com/browse/CRUC-8533 https://jira.atlassian.com/browse/FE-7397 •
CVSS: 4.3EPSS: 0%CPEs: 2EXPL: 0CVE-2021-43954
https://notcve.org/view.php?id=CVE-2021-43954
The DefaultRepositoryAdminService class in Fisheye and Crucible before version 4.8.9 allowed remote attackers, who have 'can add repository permission', to enumerate the existence of internal network and filesystem resources via a Server-Side Request Forgery (SSRF) vulnerability. La clase DefaultRepositoryAdminService en Fisheye and Crucible versiones anteriores a 4.8.9, permitía a atacantes remotos, que tuvieran el permiso "can add repository permission", enumerar la existencia de recursos internos de red y del sistema de archivos por medio de una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) • https://jira.atlassian.com/browse/CRUC-8520 https://jira.atlassian.com/browse/FE-7384 • CWE-918: Server-Side Request Forgery (SSRF) •