Vulnerabilities ›

CVE-2023-22515

Critical 🇺🇸 CISA KEV ⚡ Exploit Available

Atlassian Confluence Broken Access Control - Unauthorized Admin Account Creation

                    Published: Oct 5, 2023                                          ·  Source: CISA_KEV                

CVSS v3

9.0

🔗 NVD Official

📄 Description (English)

Atlassian Confluence Data Center and Server Broken Access Control Vulnerability — Atlassian Confluence Data Center and Server contains a broken access control vulnerability that allows an attacker to create unauthorized Confluence administrator accounts and access Confluence.

🤖 AI Executive Summary

CVE-2023-22515 is a critical broken access control vulnerability in Atlassian Confluence Data Center and Server (CVSS 9.0) that allows unauthenticated attackers to create unauthorized administrator accounts. This vulnerability has active exploits available and poses an immediate threat to organizations using Confluence for documentation and collaboration. Patching is urgent as attackers can gain full administrative control without authentication.

📄 Description (Arabic)

تتعلق هذه الثغرة بفشل آليات التحقق من الوصول في Atlassian Confluence، مما يسمح للمهاجمين بإنشاء حسابات مسؤول جديدة دون تفويض مناسب. يمكن للمهاجمين استغلال هذه الثغرة للحصول على سيطرة إدارية كاملة على نظام Confluence. تم تصنيف هذه الثغرة كحرجة بدرجة CVSS 9.0 وتتوفر استغلالات عملية لها. يتطلب الإصلاح تطبيق التحديثات الأمنية من Atlassian فوراً.

🤖 ملخص تنفيذي (AI)

CVE-2023-22515 هي ثغرة حرجة في التحكم بالوصول في Atlassian Confluence Data Center و Server (CVSS 9.0) تسمح للمهاجمين غير المصرح لهم بإنشاء حسابات مسؤول غير مصرح بها. تتوفر استغلالات نشطة لهذه الثغرة مما يشكل تهديداً فورياً للمنظمات التي تستخدم Confluence. يعتبر التصحيح ضرورياً وعاجلاً لأن المهاجمين يمكنهم الحصول على السيطرة الإدارية الكاملة دون مصادقة.

🤖 AI Intelligence Analysis Analyzed: Apr 20, 2026 12:48

🇸🇦 Saudi Arabia Impact Assessment

This vulnerability poses critical risk to Saudi government agencies, ARAMCO, banking sector (SAMA-regulated institutions), and large enterprises using Confluence for internal documentation. Government entities under NCA oversight and financial institutions under SAMA supervision are particularly vulnerable. Telecom operators (STC, Mobily) and healthcare organizations using Confluence for collaboration face significant exposure. Unauthorized admin account creation could lead to data exfiltration, system compromise, and regulatory violations under NCA ECC 2024 and SAMA CSF frameworks.

🏢 Affected Saudi Sectors

Government and Public Administration Banking and Financial Services Energy and Utilities (ARAMCO) Telecommunications (STC, Mobily) Healthcare Large Enterprises and Corporations Defense and Security

🎯 MITRE ATT&CK Techniques

T1078 - Valid Accounts T1078.002 - Domain Accounts T1098 - Account Manipulation T1098.001 - Additional Cloud Credentials T1190 - Exploit Public-Facing Application T1199 - Trusted Relationship T1556 - Modify Authentication Process T1556.006 - Multi-Factor Authentication T1110 - Brute Force T1021 - Remote Services

⚖️ Saudi Risk Score (AI)

9.2

/ 10.0

🔧 Remediation Steps (English)

IMMEDIATE ACTIONS:

1. Identify all Confluence Data Center and Server instances in your environment

2. Restrict network access to Confluence instances to authorized users only

3. Enable IP whitelisting and VPN-only access as temporary measure

4. Monitor admin account creation logs for suspicious activities

5. Review existing admin accounts for unauthorized additions



PATCHING:

1. Apply Atlassian security patches immediately (versions 7.19.17, 8.5.3, 8.6.1 or later)

2. Prioritize patching for internet-facing Confluence instances

3. Test patches in non-production environment first

4. Schedule maintenance window for production patching



DETECTION:

1. Monitor for POST requests to /admin/users/createuser endpoints

2. Alert on new admin account creation without change management tickets

3. Review authentication logs for failed login attempts followed by admin creation

4. Implement WAF rules to block unauthorized admin creation attempts



COMPENSATING CONTROLS (if patching delayed):

1. Implement network segmentation - restrict Confluence access to internal networks only

2. Deploy Web Application Firewall (WAF) with rules blocking admin creation endpoints

3. Enable MFA for all Confluence accounts

4. Implement continuous monitoring of admin account changes

5. Conduct daily audits of admin account modifications

🔧 خطوات المعالجة (العربية)

الإجراءات الفورية:

1. تحديد جميع مثيلات Confluence Data Center و Server في بيئتك

2. تقييد الوصول إلى شبكة Confluence للمستخدمين المصرح لهم فقط

3. تفعيل قائمة IP البيضاء والوصول عبر VPN كإجراء مؤقت

4. مراقبة سجلات إنشاء حسابات المسؤول للأنشطة المريبة

5. مراجعة حسابات المسؤول الموجودة للتحقق من الإضافات غير المصرح بها



التصحيح:

1. تطبيق تصحيحات أمان Atlassian فوراً (الإصدارات 7.19.17 و 8.5.3 و 8.6.1 أو أحدث)

2. إعطاء الأولوية لتصحيح مثيلات Confluence المتصلة بالإنترنت

3. اختبار التصحيحات في بيئة غير الإنتاج أولاً

4. جدولة نافذة صيانة لتصحيح الإنتاج



الكشف:

1. مراقبة طلبات POST إلى نقاط نهاية /admin/users/createuser

2. تنبيهات عند إنشاء حساب مسؤول جديد بدون تذاكر إدارة التغيير

3. مراجعة سجلات المصادقة لمحاولات تسجيل الدخول الفاشلة متبوعة بإنشاء مسؤول

4. تطبيق قواعد WAF لحظر محاولات إنشاء مسؤول غير مصرح بها

📋 Regulatory Compliance Mapping

🟢 NCA ECC 2024

A.5.1.1 - Information Security Policies and Procedures A.6.1.1 - Internal Organization A.6.2.1 - Access Control A.9.1.1 - Access Control Policy A.9.2.1 - User Registration and De-registration A.9.2.5 - Access Rights Review A.14.2.1 - Information Security Requirements Analysis and Specification

🔵 SAMA CSF

Governance (GV) - GV-RO-01: Governance Structure Governance (GV) - GV-RM-01: Risk Management Strategy Protect (PR) - PR-AC-01: Access Control Policy Protect (PR) - PR-AC-02: User Access Management Detect (DE) - DE-CM-01: Detection and Analysis Respond (RS) - RS-RP-01: Response Planning

🟡 ISO 27001:2022

5.3 - Segregation of Duties 6.2 - Information Security Roles and Responsibilities 8.2 - Privileged Access Rights 8.3 - Information Access Restriction 8.6 - Access Control for Cryptography A.5.15 - Access Control A.6.2 - User Access Management A.9.1 - Access Control Policy A.9.2 - User Registration and De-registration A.9.4 - Access Rights Review

🟣 PCI DSS v4.0

Requirement 2.1 - Default Security Parameters Requirement 7 - Restrict Access to Data Requirement 8 - Identify and Authenticate Access Requirement 8.2 - User Identification and Authentication

🔗 References & Sources 0

No references.

📦 Affected Products / CPE 1 entries

Atlassian:Confluence Data Center and Server

📊 CVSS Score

9.0

/ 10.0 — Critical

📋 Quick Facts

Severity Critical

CVSS Score9.0

EPSS94.33%

Exploit ✓ Yes

Patch ✓ Yes

CISA KEV🇺🇸 Yes

KEV Due Date2023-10-13

Published 2023-10-05

Source Feed cisa_kev

🇸🇦 Saudi Risk Score

9.2

/ 10.0 — Saudi Risk

Priority: CRITICAL

🏷️ Tags

kev actively-exploited ransomware

⚡ Actions

🔗 NVD Official Page ⚡ Exploit-DB Search 🐙 GitHub PoC Search 🎯 MITRE ATT&CK 📊 CVE Details

CVE-2023-22515

Introduce Yourself

Sign In Required