リモートホストで実行されているAtlassian Jira Service Management Data CenterとServerJira Service Deskのバージョンは、JSDSERVER-16480のアドバイザリに記載されている脆弱性の影響を受けます。

  - Axiosは、ブラウザおよびNode.js用のプロミスベースのHTTPクライアントです。バージョン 0.30.2 、 1.12.0 より前のAxiosがNode.jsで実行され、「data:」スキームでURLが与えられたとき、HTTPを実行しません。代わりに、Node http アダプターはペイロード全体をメモリ「Buffer」/「Blob」にデコードし、合成 200 応答を返します。このパスは「maxContentLength」/「maxBodyLength」HTTP 応答のみを保護するため、攻撃者は非常に大きな「data:」URI を供給し、発信者がリクエストした場合でも、プロセスに無制限メモリの割り当てとクラッシュを引き起こす可能性がありますDoS `responseType: 'stream' 。バージョン 0.30.2 および 1.12.0 には、この問題に対するパッチが含まれています。CVE-2025-58754

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Atlassian Jira Service Management Data Center and Server 10.3.0 < 10.3.13 / 11.0.x < 11.2.1 / 11.3.0 JSDSERVER-16480

high Nessus プラグイン ID 298249

バージョン 1.1