CVE-2019-3396

highPriorität · handeln · 90OT-Risiko · kritischKEV · ausgenutztEPSS 0.999 · 100. PerzentilExploit · waffenfähigEURUUS

grimoire priorityP0 · Act now

Exploitable?

Yes · in the wild

CISA KEV · 25 exploits · waffenfähig

Likely / severe?

99.9% (100th) EPSS

CVSS 10 · high

Is it mine?

21 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · fstec_bdu · nvd

hinzugefügt 2021-11-03beheben bis 2022-05-03

erforderliche Maßnahme Apply updates per vendor instructions.

EPSS · bewertet 2026-10-26

Atlassian Confluence Server and Data Center Server-Side Template Injection Vulnerability

The Widget Connector macro in Atlassian Confluence Server before version 6.6.12 (the fixed version for 6.6.x), from version 6.7.0 before 6.12.3 (the fixed version for 6.12.x), from version 6.13.0 before 6.13.3 (the fixed version for 6.13.x), and from version 6.14.0 before 6.14.2 (the fixed version for 6.14.x), allows remote attackers to achieve path traversal and remote code execution on a Confluence Server or Data Center instance via server-side template injection.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

10.0

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · high–critical · 9.8–10

v2.010highAV:N/AC:L/Au:N/C:C/I:C/A:Cprimary · NVD / NIST USAusnutzbarkeit 10 · Auswirkung 10

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · ENISA EU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HsecondaryAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Hsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: active · Automatable: yes · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-22USprimärCWE-22US

ATT&CK-Techniken

ATT&CK-Techniken, die dies ermöglicht oder abbildet.

Exploits (25)

Öffentlicher Proof-of-Concept- und Exploit-Code.

exploit/multi/http/confluence_widget_connectorAtlassian Confluence Widget Connector Macro Velocity Template Injectionwaffenfähig · metasploit
EDB-46731Atlassian Confluence Widget Connector Macro - Velocity Template Injection (Metasploit)funktional · exploit_db
EDB-49465Atlassian Confluence Widget Connector Macro - SSTIPoC · exploit_db
0xNinjaCyclone/cve-2019-33960xNinjaCyclone/cve-2019-3396PoC · poc_in_github
46o60/CVE-2019-3396_Confluence46o60/CVE-2019-3396_ConfluencePoC · poc_in_github
Avento/CVE-2019-3396-Memshell-for-BehinderCVE-2019-3396 Memshell for BehinderPoC · poc_in_github

betroffene Produkte (21)

Betroffene Produkte und Versionsbereiche.

Atlassian Confluence Server6.7.0 → unspecifiedenisa_euvdEU
Atlassian Confluence Servernext of 6.13.0 → unspecifiedenisa_euvdEU
Atlassian Confluence Servernext of 6.14.0 → unspecifiedenisa_euvdEU
Atlassian Confluence Serverunspecified → 6.12.3enisa_euvdEU
Atlassian Confluence Serverunspecified → 6.13.3enisa_euvdEU
Atlassian Confluence Serverunspecified → 6.14.2enisa_euvdEU
Atlassian Confluence Serverunspecified → 6.6.12enisa_euvdEU
Atlassian Confluence Server≤ 6.8.0fstec_bduRU
Atlassian Confluence Server≤ 6.7.0fstec_bduRU
Atlassian Confluence Server≤ 6.6.0fstec_bduRU
Atlassian Confluence Server≤ 6.12.0fstec_bduRU
Atlassian Confluence Server≤ 6.14.1fstec_bduRU
Atlassian Confluence Server≤ 6.14.0fstec_bduRU
Atlassian Confluence Server≤ 6.13.0fstec_bduRU
Atlassian Confluence Server≤ 6.11.0fstec_bduRU
Atlassian Confluence Server≤ 6.10.0fstec_bduRU
Atlassian Confluence Server≤ 6.9.0fstec_bduRU
atlassian confluence server< 6.6.12nvdUScpe:2.3:a:atlassian:confluence_server:*:*:*:*:*:*:*:*
atlassian confluence server6.13.0 → 6.13.3nvdUScpe:2.3:a:atlassian:confluence_server:*:*:*:*:*:*:*:*
atlassian confluence server6.14.0 → 6.14.2nvdUScpe:2.3:a:atlassian:confluence_server:*:*:*:*:*:*:*:*

20 von 21 angezeigt

auch bekannt als (5)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu nvd NVD CVE.org MITRE

veröffentlicht 2019-03-25geändert 2026-06-17

verwandt (12,513)

Verwandte Einträge.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2026-104286US	—OT kritisch	4.57% (92nd)	KEV	2026-10-01
An improper limitation of a pathname to a restricted directory ('path traversal') vulnerability in Fortinet FortiMail 8.0.0 through 8.0.1, FortiMail 7.6.0 through 7.6.6, FortiMail…
CVE-2026-93616US	—OT kritisch	91.6% (100th)	KEV	2026-09-22
A directory traversal and file upload vulnerability allows an unauthenticated attacker to upload and execute arbitrary scripts on Check Point Management Server.
CVE-2026-85706US	—OT kritisch	97.4% (100th)	KEV	2026-09-12
GitLab has remediated an issue in GitLab CE/EE affecting all versions from 18.7 before 18.11.12, 19.0 before 19.0.9, 19.1 before 19.1.8, 19.2 before 19.2.6, and 19.3 before 19.3.2…
CVE-2026-66384US	—OT kritisch	0.66% (52nd)	KEV	2026-08-12
An authenticated user may write data outside the intended Docker cache path under specific remote-repository conditions.
CVE-2026-59310US	—OT kritisch	2.56% (85th)	KEV	2026-07-30
VMware vCenter contains a directory traversal vulnerability in the Syslog server. A malicious actor with network access to vCenter may exploit this issue to execute arbitrary code.

+12508 weitere

Referenzen (25)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan