CVE-2019-8446 — 神龙十问 AI 深度分析摘要

🚨 **本质**：Jira 接口**授权缺失**。 📉 **后果**：攻击者可**枚举用户名**，泄露敏感身份信息。

🔍 **CWE-863**：不正确的授权。 🐛 **缺陷点**：`/rest/issueNav/1/issueTable` 资源**缺少身份验证**或强度不足。

🏢 **厂商**：Atlassian。 📦 **产品**：Jira。 📅 **版本**：**8.3.2 之前**的所有版本。

🕵️ **能力**：远程攻击者。 📂 **数据**：通过错误的授权检查，**枚举/获取用户名**。

🚪 **门槛**：低。 🔑 **认证**：利用**授权检查错误**，可能无需高权限即可探测用户存在。

📜 **PoC**：有现成脚本。 🔗 **链接**：GitHub 上有 Python 检测脚本及 Nuclei 模板。

🔎 **自查**：扫描 `/rest/issueNav/1/issueTable` 接口。 🛠 **工具**：使用 Nuclei 模板或专用 Python 脚本进行验证。

🛡️ **修复**：升级至 **Jira 8.3.2 或更高版本**。 📝 **参考**：Atlassian 官方安全公告 JRASERVER-69777。

⚠️ **规避**：若无补丁，需**限制接口访问**。 🚫 **措施**：通过 WAF 或防火墙**阻断**对该特定 REST 接口的未授权访问。

🔥 **优先级**：中高。 💡 **建议**：虽不直接导致 RCE，但**信息泄露**是攻击前置步骤，建议**尽快升级**。