// 威脅簡報

CVE-2026-21589已遭實際利用

Atlassian 多款 Data Center 產品任意檔案讀取:不用登入就能讀取網站程式目錄內的特定檔案

CVSS: 9.3 CRITICAL
CISA KEV: 2026-10-15
弱點類型: CWE-552
主題: Web 應用

PlainCVE 團隊 · 發布 2026-10-20 · AI 輔助 · 媒體簡報 ↓

AI 審稿 2026-10-20(未經人工)指令測試:未提供漏洞重現:未進行驗證紀錄 ↓

Atlassian 多款 Data Center 產品讓未登入的攻擊者讀取網站程式目錄內的特定檔案;已列入 CISA KEV,資安公司回報觀察到利用嘗試。

誰會中	自行架設 Bitbucket、Confluence、Jira Software、Jira Service Management、Bamboo、Crowd 的 Data Center 版,以及 Crucible、Fisheye,且版本低於各產品修補版的組織。Atlassian Cloud 已修補,Bitbucket Cloud 不受影響。
後果	攻擊者若知道檔案的確切名稱與路徑,就能讀取網站程式根目錄內的檔案,但無法列出目錄內容。某些設定下目錄裡可能有敏感檔案;研究人員示範過在 Crowd 搭配 Jira 的環境中取得應用程式憑證;在能連到 Crowd 且該應用程式權限足夠時,進而建立 Jira 管理員。
現在該做什麼	把每個安裝升級到修補版或最新版。還不能升級時,盡可能先讓主機離開網際網路,或套用官方提供的 WAF/代理規則等暫時緩解措施。
受影響版本	Atlassian 公告與工單:各產品修補版以前的所有版本(All versions are affected);已停止支援的版本也可能受影響。Atlassian 以 CNA 身分填的 CVE 紀錄則列出起始版本,例如 Bitbucket ≥ 4.6.0、Confluence ≥ 5.10.0、Jira Software ≥ 7.1.0。兩份一手資料不一致,本站並列;偵測請涵蓋兩者的聯集(即所有舊版)。
修好的版本	Bitbucket 9.4.26 / 10.2.8 / 10.5.1;Confluence 9.2.26 / 10.2.19;Jira Software 9.12.40 / 10.3.26 / 11.3.12;JSM 5.12.40 / 10.3.26 / 11.3.12;Bamboo 10.2.24 / 12.1.12;Crowd 6.3.7 / 7.0.3 / 7.1.7(GitHub 寫 7.1.1)/ 7.2.4;Crucible、Fisheye 4.9.15
CVSS 向量	顯示完整向量 `CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H`
時間點	首次公開 2026-10-05
CISA KEV	已列入(2026-10-15),代表已有實際攻擊案例

藍隊應對手冊

確認、修補 / 緩解、應變、強化。版本符合受影響條件不等於已被入侵;檢查沒有結果也不等於安全,每一項都有能證明與不能證明的範圍。標記的步驟對應下方攻擊流程裡可以擋下攻擊的那一步。

DETECT確認我受影響嗎?有沒有入侵跡象?

01比對版本是否低於修補版
在各產品的管理介面查版本,並對照本頁的修補版表格。Data Center、Crucible、Fisheye 的所有舊版都受影響,已停止支援的版本也可能受影響。Atlassian Cloud 已由官方修補,不需動作。
02搜尋存取紀錄中的路徑穿越痕跡
依 Atlassian 公告的建議:把每行存取紀錄做最多兩次 URL 解碼,再找緊鄰 /、\ 或 :: 的「..」(公告也提供可直接搜尋未解碼紀錄的正規表示式,可改用它)。在哪裡執行:在執行受影響產品的主機上(或集中存放其存取紀錄的主機上),把指令最後的 /path/to/product/logs 換成該產品存放存取紀錄的目錄(位置依安裝而定,公告沒有指定)。這是 PlainCVE 的寫法:只讀取、不修改檔案、不連線其他主機;會遞迴搜尋所有子資料夾裡檔名含 access 的紀錄檔,包含依日期輪替的檔案與 .gz 壓縮檔,無法解碼的位元組會被取代而不中斷;輸出為檔名加上符合的那一行。某資安公司的報告(該頁含攻擊程式,本站不連結)提醒,符合的請求只代表有人嘗試,不代表成功,也看不出回傳了哪個檔案。
唯讀查詢
```
python3 -c 'import sys,os,re,gzip,urllib.parse as u; p=re.compile(r"\.\.(/|\\|::)|(/|\\|::)\.\."); [sys.stdout.write(os.path.join(d,f)+"\t"+l) for d,_,fs in os.walk(sys.argv[1]) for f in fs if "access" in f for l in (gzip.open if f.endswith(".gz") else open)(os.path.join(d,f),"rt",errors="replace") if p.search(u.unquote(u.unquote(l)))]' /path/to/product/logs
```
步驟 1 步驟 2 步驟 3

MITIGATE修補 / 緩解先修補;還不能修補時先擋住

01升級到修補版或最新版
官方建議每個受影響的安裝都升級。已停止支援的版本,官方建議升級到已修補的 LTS 版本或更新版本。
步驟 2 步驟 3
02還不能升級:先離開網際網路
官方建議在修補或套用緩解措施前,盡可能把主機從網際網路移除。
步驟 1
03套用官方暫時緩解規則
三選一:WAF/代理的正規表示式規則(所有產品)、Tomcat RewriteValve(Confluence、JSM、Jira、Bamboo、Crowd)、urlrewrite.xml 規則(僅 Bitbucket)。官方強調這些措施有限,不能取代修補。規則內容請依官方公告設定。
步驟 3

RESPOND應變發現入侵跡象時

01輪替可能外洩的應用程式憑證
若紀錄中有可疑請求,特別是 Crowd 搭配 Jira 的環境,輪替 Crowd 設定檔中的應用程式憑證。這是 PlainCVE 的預防性建議;據某新聞報導(該頁含攻擊程式,本站不連結),watchTowr 表示目前尚未觀察到有人使用竊得的憑證。
步驟 4
02檢查 jira-administrators 群組成員
研究人員示範的接管方式是新增使用者到 jira-administrators。檢查是否有不認得的新帳號(PlainCVE 建議)。
步驟 5

HARDEN強化長期避免同類問題

01啟用 Crowd 的 IP 允許清單
研究人員指出這能擋下用竊得憑證直接建立管理員的路徑。
步驟 5
02不要讓 Data Center 產品直接暴露在網際網路
這個漏洞不需登入、能透過網路連到主機即可嘗試(攻擊者仍須知道檔案確切路徑);放在 VPN 或內網後方能縮小曝險面(PlainCVE 建議)。
步驟 1
03不要停留在已停止支援的版本
官方表示停止支援的版本也可能受影響,建議升級到已修補的 LTS 版本。

完整修復步驟與說明

先升級,再談其他。 依上表選擇與你目前版本同一條分支的修補版;停止支援的版本請升級到已修補的 LTS 版本或更新版本(官方建議)。
暫時緩解的限制。 官方提供 WAF/代理、Tomcat RewriteValve、Bitbucket 專用 urlrewrite.xml 三種規則,但明言這些措施有限、不能取代修補。規則請直接照官方公告設定,不要自行改寫。
Crowd 的版本請以官方工單為準。 Atlassian 工單列的是 7.1.7,GitHub 未審核公告寫 7.1.1;以 7.1.x 分支來說,升到 7.1.7 以上兩種說法都滿足。
讀紀錄時的提醒。 符合搜尋條件的請求只代表有人嘗試(某資安公司的報告,該頁含攻擊程式,本站不連結),要搭配回應狀態與後續帳號異動一起判斷。

攻擊流程

從左到右是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

由上到下是攻擊發生的順序。藍色盾牌代表這一步可以被擋下,越早擋下越好。點圖示可看細節。

圖片可自由用於報導與教學,採 CC BY 4.0,圖上已附出處。

攻擊者
對連得到的 Data Center 主機送出特製請求
不需要帳號或登入,只要能透過網路連到受影響的主機。
防禦: 還沒修補前,盡可能讓主機離開網際網路(官方建議)。
你的系統
共用的 web-resource 程式把「::」當成路徑分隔
watchTowr 的分析(Rapid7 轉述)指出,問題出在各產品共用的網頁資源程式處理路徑的方式,「::」在處理過程中可能變成路徑分隔符號。
防禦: 升級到修補版;某資安公司的報告(該頁含攻擊程式,本站不連結)指出修補在 atlassian-plugins-webresource 6.0.8,已包含在各修補版中。
你的系統
伺服器回傳網站程式目錄內的指定檔案
攻擊者必須事先知道檔案的確切名稱與路徑,無法列出目錄。研究人員也無法讀到 Tomcat 應用程式範圍以外的檔案。
防禦: 暫時緩解:WAF/代理的正規表示式規則(所有產品)、Tomcat RewriteValve(Confluence、JSM、Jira、Bamboo、Crowd)或 urlrewrite.xml 規則(僅 Bitbucket)。
攻擊者
在 Crowd 搭配 Jira 的環境中讀出應用程式憑證
watchTowr 回報(Rapid7 轉述),讀取 Crowd 的設定檔 crowd.properties 會暴露應用程式憑證。這只在特定設定下成立。
防禦: 修補;若懷疑被讀取,輪替這些憑證(PlainCVE 建議)。
攻擊者
用憑證建立 Jira 管理員帳號
研究人員在能連到 Crowd、且該應用程式權限足夠時,建立了新使用者並加入 jira-administrators 群組。
防禦: 研究人員指出 Crowd 的 IP 允許清單可擋下這條直接路徑。

影響範圍

產品	修補版本	起始受影響版本(CVE 紀錄,CNA 為 Atlassian;公告則寫所有版本)
Bitbucket Data Center	9.4.26、10.2.8、10.5.1	4.6.0
Confluence Data Center	9.2.26、10.2.19	5.10.0
Jira Software Data Center	9.12.40、10.3.26、11.3.12	7.1.0
Jira Service Management Data Center	5.12.40、10.3.26、11.3.12	3.1.0
Bamboo Data Center	10.2.24、12.1.12	7.0.1
Crowd Data Center	6.3.7、7.0.3、7.1.7(GitHub 寫 7.1.1)、7.2.4	2.11.0
Crucible	4.9.15	未列出
Fisheye	4.9.15	未列出
Atlassian Cloud 產品	官方已修補,不需動作	—
Bitbucket Cloud	不受影響	—

同一家廠商的兩份一手資料不一致,本站並列: Atlassian 的安全公告與各產品工單寫「所有版本」(All versions are affected),沒有給起始版本;Atlassian 以 CNA 身分填的 CVE 紀錄,描述與版本欄則列出上表右欄的起始版本(例如 Bitbucket ≥ 4.6.0),同一份紀錄的 affected 欄也寫 All other versions affected。NVD 的 CPE 範圍大致沿用,但細節略有不同(例如 NVD 的 Bitbucket Data Center CPE 從 7.17.0 起算,4.6.0～8.14.6 則列在 bitbucket_server CPE 下)。GitHub 未審核公告的數字與 CVE 紀錄相同。本站不選邊:偵測與升級請涵蓋兩者的聯集,也就是修補版以前的所有舊版。已停止支援(End of Life)的版本也可能受影響。

CVE 紀錄狀態: 研究時(2026-10-18)讀到的快照顯示,CVE 紀錄與 NVD 曾在 2026-10-16 被標為「已撤銷」(理由為發布「可能是誤報或錯誤」)。2026-10-20 重新讀取時,CVE 紀錄 state 為 PUBLISHED(2026-10-19 更新),沒有撤銷資料,NVD 狀態為 Analyzed。撤銷與恢復的原因來源都沒有說明。無論如何,請以修補為準。

原理

Atlassian 的公告只說:未登入的攻擊者可以讀取網站程式根目錄(web application root)內的特定檔案。攻擊者必須事先知道檔案的確切名稱與路徑,這個漏洞不能用來列出目錄內容。官方也提醒,在某些設定下,目錄裡可能放著會提高風險的敏感檔案。

watchTowr 的分析(Rapid7 轉述)把問題追到各產品共用的「網頁資源」(web-resource)程式:處理請求時,「::」這種雙冒號序列可能被轉成路徑分隔符號,讓請求跳出原本限定的資料夾。某資安公司的報告(該頁含攻擊程式,本站不連結)指出修補位於共用函式庫 atlassian-plugins-webresource 6.0.8。CISA 將弱點歸類為 CWE-552(檔案或目錄可被外部存取)。

有問題的思路(概念示意,不是原始程式碼):

展開程式碼範例(python)

def serve_resource(name):
    # 先檢查有沒有「..」,之後才把 :: 換成 /
    if ".." in name.split("/"):
        reject()
    path = name.replace("::", "/")   # 轉換後才出現的路徑段沒有再檢查
    return read_file(WEBAPP_ROOT / path)

修好的思路:

展開程式碼範例(python)

def serve_resource(name):
    path = (RESOURCE_DIR / name.replace("::", "/")).resolve()
    # 所有轉換做完後,確認最終路徑仍在允許的資料夾內
    if not path.is_relative_to(RESOURCE_DIR):
        reject()
    return read_file(path)

研究人員能確認的範圍:watchTowr 在 Jira、Confluence、Bitbucket 上確認可讀檔,但無法讀到 Tomcat 應用程式範圍以外的檔案。Rapid7 轉述 watchTowr 的結果:在設定了 Jira 的 Crowd 環境中,讀取 crowd.properties 會暴露應用程式憑證;研究人員在能連到 Crowd、且該應用程式權限足夠時,用它建立了 Jira 管理員。Crowd 的 IP 允許清單可以擋下這條路徑。沒有任何來源表示這個漏洞可以遠端執行程式碼。

時間軸

日期	事件
2026-10-02	Jira、JSM、Confluence、Bitbucket、Crowd 的工單建立於 10-02(Bamboo、Crucible、Fisheye 為 10-03),部分工單當天附上 rewrite.config(Bamboo 的 rewrite.config 是 10-06 才附上,Crucible、Fisheye 沒有附)。工單目前的內容與公告摘要相同,但建立當時是否已公開、內容為何,無法從源頭確認,所以首次公開仍取公告與 CVE 紀錄的 10-05
2026-10-05	Atlassian 發布公告與所有產品的修補版;公告表示雲端產品已修補、調查未發現雲端產品遭利用,自架版本則無法確認是否受影響
2026-10-06	watchTowr 公開分析與概念驗證程式;據新聞報導,Previdian 表示其誘捕主機數小時內記錄到利用嘗試(SecurityWeek 寫 10 月 6 日,另一篇新聞〔該頁含攻擊程式,本站不連結〕10 月 7 日的報導寫「今天稍早」,日期說法不一)
2026-10-15	CISA 列入已知遭利用漏洞清單
2026-10-16	CVE 紀錄與 NVD 被標為已撤銷(依研究時 10-18 的快照)
2026-10-18	CISA 給聯邦機構的修補期限
2026-10-19	CVE 紀錄更新為 PUBLISHED(2026-10-20 讀取時確認);NVD 為 Analyzed

驗證紀錄 AI 依審稿規則逐項核對來源,全部通過;未經人工審稿,也尚未在我們的環境重現

AI 審稿	2026-10-20 · 審稿規則

驗證紀錄只寫環境與結果,不公開重現步驟或可攻擊他人系統的程式。詳見政策.

來源

安全公告CVE-2026-21589 - Arbitrary File Access Vulnerability impacts Multiple Products · Atlassian, 2026-10-05 · 查閱 2026-10-18
CVE / NVD / OSVCVE-2026-21589 CVE record · CVE Program, 2026-10-19 · 查閱 2026-10-20
CVE / NVD / OSVNVD - CVE-2026-21589 · NIST · 查閱 2026-10-20
其他GitHub Advisory Database entry for CVE-2026-21589 (unreviewed) · GitHub · 查閱 2026-10-18
安全公告CISA KEV snapshot for CVE-2026-21589 · CISA (PlainCVE snapshot), 2026-10-15 · 查閱 2026-10-18
廠商說明BSERV-20604 (Bitbucket Data Center) · Atlassian · 查閱 2026-10-18
廠商說明CONFSERVER-104488 (Confluence Data Center) · Atlassian · 查閱 2026-10-18
廠商說明JRASERVER-79546 (Jira Software Data Center) · Atlassian · 查閱 2026-10-18
廠商說明JSDSERVER-16809 (Jira Service Management Data Center) · Atlassian · 查閱 2026-10-18
廠商說明BAM-26567 (Bamboo Data Center) · Atlassian · 查閱 2026-10-18
廠商說明CWD-6610 (Crowd Data Center) · Atlassian · 查閱 2026-10-18
廠商說明CRUC-8741 (Crucible) · Atlassian · 查閱 2026-10-18
廠商說明FE-7583 (Fisheye) · Atlassian · 查閱 2026-10-18
研究文章ETR: CVE-2026-21589 critical unauthenticated arbitrary file access in Atlassian products · Rapid7 · 查閱 2026-10-18
研究文章Atlassian Jira/Confluence arbitrary file read (CVE-2026-21589) · watchTowr · 查閱 2026-10-18
新聞報導Atlassian warns of critical file access flaw in Jira, Confluence · BleepingComputer · 查閱 2026-10-18
新聞報導Attackers target critical Atlassian vulnerability within hours of PoC publication · SecurityWeek · 查閱 2026-10-18

媒體簡報

一句話

Atlassian 在 2026 年 10 月 5 日公告,旗下 Jira、Confluence、Bitbucket 等八款自行架設的產品(六款 Data Center 產品及 Crucible、Fisheye)有一個漏洞,讓未登入的攻擊者能讀取網站程式目錄內的特定檔案,並同步釋出修補版。研究機構 watchTowr 隔天公開分析與概念驗證程式;據新聞報導,資安公司 Previdian 表示數小時內就觀察到利用嘗試。美國 CISA 已在 10 月 15 日將它列入已知遭利用漏洞清單。另外,CVE 紀錄在 10 月 16 日曾被標為「已撤銷」(研究時 10 月 18 日的快照),10 月 19 日已恢復為 PUBLISHED(已公開)。

關鍵數字

嚴重度: CVSS 4.0 9.3(Atlassian/CNA,NVD 列為 Secondary,本站採用);NVD 7.5(CVSS 3.1,Primary) services.nvd.nist.gov
官方公告與修補: 2026-10-05 confluence.atlassian.com
列入 CISA KEV: 2026-10-15(聯邦機構修補期限 10-18) cisa.gov
CVE 紀錄狀態: 目前為 PUBLISHED(2026-10-19 更新);曾在 2026-10-16 被標為已撤銷,10-18 的快照仍顯示撤銷 cveawg.mitre.org
概念驗證公開: 2026-10-06(watchTowr) securityweek.com

已確認

Atlassian 確認八款自行架設的產品(六款 Data Center 產品及 Crucible、Fisheye)受影響,未登入者能讀取網站程式根目錄內的特定檔案,並已釋出修補版。
CISA 已在 2026-10-15 列入已知遭利用漏洞清單。

尚未確認 / 說法不一

據新聞報導,Previdian 表示其誘捕主機在 watchTowr 公開技術細節後數小時內記錄到利用嘗試;日期說法不一:SecurityWeek 寫 10 月 6 日,另一篇新聞(該頁含攻擊程式,本站不連結)在 10 月 7 日的報導寫「今天稍早」。Previdian 自己的公開資料本站未能取得。
據某新聞報導(該頁含攻擊程式,本站不連結),watchTowr 表示正觀察到實際利用,但目前未見入侵後活動或使用竊得憑證的行為。
研究時(10-18)的快照顯示 CVE 紀錄曾被 Atlassian 以「可能是誤報或錯誤」撤銷;2026-10-20 重新讀取時,CVE 紀錄與 NVD 都已是公開狀態(CVE 紀錄 PUBLISHED、NVD Analyzed),撤銷的原因與恢復的原因來源都沒有說明。
Crowd 的修補版之一,Atlassian 工單寫 7.1.7,GitHub 未審核公告寫 7.1.1。
某資安公司的報告(該頁含攻擊程式,本站不連結)表示無法確認觀察到的嘗試是否成功。
沒有任何來源表示這個漏洞可導致遠端執行程式碼。

可引用的一句話

這扇門不會讓人看到整個房間有什麼,但只要知道抽屜的位置,就能直接把東西拿走。

圖片

下載分享圖(PNG) · 攻擊流程圖(可下載)

引用時請標示「PlainCVE」並附上本頁連結。完整引用格式見下方「如何引用本頁」。有事實錯誤請回報.

Atlassian 多款 Data Center 產品任意檔案讀取:不用登入就能讀取網站程式目錄內的特定檔案

Atlassian 在 2026 年 10 月 5 日公告,旗下 Jira、Confluence、Bitbucket 等八款自行架設的產品(六款 Data Center 產品及 Crucible、Fisheye)有一個漏洞,讓未登入的攻擊者能讀取網站程式目錄內的特定檔案,並同步釋出修補版。研究機構 watchTowr 隔天公開分析與概念驗證程式;據新聞報導,資安公司 Previdian 表示數小時內就觀察到利用嘗試。美國 CISA 已在 10 月 15 日將它列入已知遭利用漏洞清單。另外,CVE 紀錄在 10 月 16 日曾被標為「已撤銷」(研究時 10 月 18 日的快照),10 月 19 日已恢復為 PUBLISHED(已公開)。

關鍵數字:
- 嚴重度:CVSS 4.0 9.3(Atlassian/CNA,NVD 列為 Secondary,本站採用);NVD 7.5(CVSS 3.1,Primary)(https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-21589)
- 官方公告與修補:2026-10-05(https://confluence.atlassian.com/security/cve-2026-21589-arbitrary-file-access-vulnerability-impacts-multiple-products-1870495748.html)
- 列入 CISA KEV:2026-10-15(聯邦機構修補期限 10-18)(https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-21589)
- CVE 紀錄狀態:目前為 PUBLISHED(2026-10-19 更新);曾在 2026-10-16 被標為已撤銷,10-18 的快照仍顯示撤銷(https://cveawg.mitre.org/api/cve/CVE-2026-21589)
- 概念驗證公開:2026-10-06(watchTowr)(https://www.securityweek.com/attackers-target-critical-atlassian-vulnerability-within-hours-of-poc-publication)

已確認:
- Atlassian 確認八款自行架設的產品(六款 Data Center 產品及 Crucible、Fisheye)受影響,未登入者能讀取網站程式根目錄內的特定檔案,並已釋出修補版。
- CISA 已在 2026-10-15 列入已知遭利用漏洞清單。

尚未確認 / 說法不一:
- 據新聞報導,Previdian 表示其誘捕主機在 watchTowr 公開技術細節後數小時內記錄到利用嘗試;日期說法不一:SecurityWeek 寫 10 月 6 日,另一篇新聞(該頁含攻擊程式,本站不連結)在 10 月 7 日的報導寫「今天稍早」。Previdian 自己的公開資料本站未能取得。
- 據某新聞報導(該頁含攻擊程式,本站不連結),watchTowr 表示正觀察到實際利用,但目前未見入侵後活動或使用竊得憑證的行為。
- 研究時(10-18)的快照顯示 CVE 紀錄曾被 Atlassian 以「可能是誤報或錯誤」撤銷;2026-10-20 重新讀取時,CVE 紀錄與 NVD 都已是公開狀態(CVE 紀錄 PUBLISHED、NVD Analyzed),撤銷的原因與恢復的原因來源都沒有說明。
- Crowd 的修補版之一,Atlassian 工單寫 7.1.7,GitHub 未審核公告寫 7.1.1。
- 某資安公司的報告(該頁含攻擊程式,本站不連結)表示無法確認觀察到的嘗試是否成功。
- 沒有任何來源表示這個漏洞可導致遠端執行程式碼。

「這扇門不會讓人看到整個房間有什麼,但只要知道抽屜的位置,就能直接把東西拿走。」— PlainCVE
https://plaincve.date/vulns/cve-2026-21589-atlassian-data-center-file-read

如何引用本頁

本文採 CC BY 4.0,轉載請保留署名與連結。

PlainCVE 團隊(2026)。《Atlassian 多款 Data Center 產品任意檔案讀取:不用登入就能讀取網站程式目錄內的特定檔案》。PlainCVE。https://plaincve.date/vulns/cve-2026-21589-atlassian-data-center-file-read(查閱日期:YYYY-MM-DD)

BibTeX

@misc{cve202621589atlassiandatacenterfileread2026,
  title  = {Atlassian 多款 Data Center 產品任意檔案讀取:不用登入就能讀取網站程式目錄內的特定檔案},
  author = {PlainCVE 團隊},
  year   = {2026},
  howpublished = {PlainCVE},
  url    = {https://plaincve.date/vulns/cve-2026-21589-atlassian-data-center-file-read},
  note   = {更新於 2026-10-20}
}