CVSS: 4.8EPSS: 0%CPEs: 2EXPL: 0CVE-2019-8450
https://notcve.org/view.php?id=CVE-2019-8450
Various templates of the Optimization plugin in Jira before version 7.13.6, and from version 8.0.0 before version 8.4.0 allow remote attackers who have permission to manage custom fields to inject arbitrary HTML or JavaScript via a cross site scripting (XSS) vulnerability in the name of a custom field. Varias plantillas del plugin Optimization en Jira versiones anteriores a 7.13.6, y desde la versión 8.0.0 anteriores a 8.4.0, permiten a atacantes remotos, que tienen permiso para administrar campos personalizados, inyectar HTML o JavaScript arbitrario por medio de una vulnerabilidad de tipo cross-site-scripting (XSS) en el nombre de un campo personalizado. • https://jira.atlassian.com/browse/JRASERVER-69795 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 1CVE-2019-14998
https://notcve.org/view.php?id=CVE-2019-14998
The Webwork action Cross-Site Request Forgery (CSRF) protection implementation in Jira before version 8.4.0 allows remote attackers to bypass its protection via "cookie tossing" a CSRF cookie from a subdomain of a Jira instance. La implementación de la protección de Cross-Site Request Forgery (CSRF) de una acción de Webwork en Jira versiones anteriores a 8.4.0, permite a atacantes remotos omitir su protección mediante el "cookie tossing" de una cookie CSRF desde un subdominio de una instancia de Jira. • https://jira.atlassian.com/browse/JRASERVER-69791 https://www.talosintelligence.com/vulnerability_reports/TALOS-2019-0835 • CWE-352: Cross-Site Request Forgery (CSRF) •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2019-14997
https://notcve.org/view.php?id=CVE-2019-14997
The AccessLogFilter class in Jira before version 8.4.0 allows remote anonymous attackers to learn details about other users, including their username, via an information expose through caching vulnerability when Jira is configured with a reverse Proxy and or a load balancer with caching or a CDN. La clase AccessLogFilter en Jira versiones anteriores a 8.4.0, permite a atacantes anónimos remotos saber detalles sobre otros usuarios, incluyendo su nombre de usuario, por medio de una exposición de información mediante la vulnerabilidad de almacenamiento en caché cuando Jira está configurado con un proxy inverso o un balanceador de carga con almacenamiento en caché o en un CDN. • https://jira.atlassian.com/browse/JRASERVER-69794 • CWE-524: Use of Cache Containing Sensitive Information •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2019-14996
https://notcve.org/view.php?id=CVE-2019-14996
The FilterPickerPopup.jspa resource in Jira before version 7.13.7, and from version 8.0.0 before version 8.3.3 allows remote attackers to inject arbitrary HTML or JavaScript via a cross site scripting (XSS) vulnerability in the searchOwnerUserName parameter. El recurso FilterPickerPopup.jspa en Jira versiones anteriores a 7.13.7 y desde la versión 8.0.0 anteriores a 8.3.3, permite a atacantes remotos inyectar HTML o JavaScript arbitrario por medio de una vulnerabilidad de tipo cross-site-scripting (XSS) en el parámetro searchOwnerUserName. • https://jira.atlassian.com/browse/JRASERVER-69790 • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') •
CVSS: 5.3EPSS: 0%CPEs: 1EXPL: 2CVE-2019-14995
https://notcve.org/view.php?id=CVE-2019-14995
The /rest/api/1.0/render resource in Jira before version 8.4.0 allows remote anonymous attackers to determine if an attachment with a specific name exists and if an issue key is valid via a missing permissions check. El recurso /rest/api/1.0/render en Jira versiones anteriores a 8.4.0, permite a atacantes anónimos remotos determinar si existe un archivo adjunto con un nombre específico y si una clave de problema es válida mediante una falta de comprobación de permisos. • https://jira.atlassian.com/browse/JRASERVER-69792 https://www.talosintelligence.com/vulnerability_reports/TALOS-2019-0836 https://www.talosintelligence.com/vulnerability_reports/TALOS-2019-0837 • CWE-862: Missing Authorization CWE-863: Incorrect Authorization •