Jira

Pesquisadores de cibersegurança da Wiz identificaram uma vulnerabilidade de injeção no fluxo de trabalho do GitHub Actions no repositório público snowflakedb/snowflake-connector-net da Snowflake. A falha permitia a execução de comandos em um fluxo de trabalho que continha credenciais internas do Jira, expostas quando um problema público era aberto. A vulnerabilidade estava localizada no arquivo .github/workflows/jira_issue.yml, que expunha informações sensíveis como JIRA_BASE_URL, JIRA_USER_EMAIL e JIRA_API_TOKEN. A Wiz conseguiu explorar a falha durante testes de segurança autorizados, obtendo o token da API do Jira, que permitia acesso de leitura a projetos relacionados a engenharia e segurança. A Snowflake foi notificada em 23 de junho de 2026 e rapidamente implementou uma correção. Embora a empresa tenha afirmado que não houve evidências de acesso não autorizado, a vulnerabilidade destaca a importância de gerenciar adequadamente as credenciais em automações de CI/CD. Até a data do relatório, não havia registro de CVE ou pontuação CVSS associada a essa falha, mas a Wiz recomenda cautela ao lidar com dados não confiáveis em blocos de execução.

A Atlassian revelou uma vulnerabilidade crítica de travessia de caminho no Jira Software Data Center e Server, identificada como CVE-2025-22167. Essa falha permite que atacantes autenticados modifiquem arquivos acessíveis ao processo da Máquina Virtual Java (JVM) do Jira, apresentando um risco significativo para organizações que utilizam essa plataforma para gerenciamento de projetos e rastreamento de problemas. Com uma pontuação CVSS de 8.7, a vulnerabilidade pode comprometer a integridade do sistema, permitindo que arquivos críticos, como arquivos de configuração e dados de aplicação, sejam alterados. A falha é especialmente preocupante em ambientes multi-inquilinos, onde várias organizações compartilham a mesma instância do Jira. A Atlassian já lançou patches para corrigir a vulnerabilidade, e as organizações afetadas devem priorizar a atualização imediata para as versões mais recentes. As versões vulneráveis incluem a 9.12.0 e outras variantes, com recomendações específicas de atualização para cada ramo de versão. A transparência da Atlassian em divulgar essa falha oferece às organizações tempo suficiente para aplicar as correções antes que a exploração ocorra.