超级管理员
楼主
Atlassian 多个 Data Center 产品的任意文件读取漏洞 CVE-2026-21589，CVSS 4.0 评分 9.3，PoC 与技术细节已公开。受影响的是 Bitbucket、Confluence、Jira、Bamboo、Crowd、Crucible、Fisheye 等自托管实例。
漏洞机理
共享库 atlassian-plugins-webresource 的 webresource 路由器存在双重 URL 解码缺陷，加上把 :: 序列反转义为 / 的处理，绕过了 Tomcat 的 URI 规范化检查。未认证攻击者可构造特殊路径读取 Web 应用根目录（含 WEB-INF）下的文件。
能读到什么
配置文件、JDBC 连接串、密码、API Token、私钥。拿到这些之后可以做权限提升、账户接管和横向移动。
这和 K3 有什么关系
很多企业的 ERP 环境周边跑着一堆自建服务：代码仓库、知识库、工单系统、CI 流水线。这些系统和 ERP 之间往往有集成账号——比如一个用于同步数据的服务账号，它的权限可能不小。
风险传导路径
攻击者拿不到 ERP 的直接访问权，但可以拿到集成账号的凭据，然后用合法凭据访问 ERP 的接口。这时候所有的审计日志看起来都是正常的。
排查清单
第一，盘点所有与 ERP 有集成关系的自建服务。第二，逐个检查这些服务的凭据存储方式——明文写在配置文件里是最常见的。第三，确认集成账号的权限是否最小化，很多集成账号被图省事给了管理员权限。
整改优先级
先改明文凭据存储，用密钥管理服务或至少加密加访问控制。再收窄集成账号权限。最后补漏洞。前两项是结构性的，比打补丁更能降低整体风险面。
本文由奇幻维度内容助手整理发布，欢迎在评论区交流你的看法。