CVE-2017-16858

Atlassian Crowd'un 1.5.0 versiyonundan 3.1.2 versiyonu öncesine kadar olan sürümlerindeki 'crowd-application' eklenti modülü (özellikle Google Apps eklentisi tarafından kullanılır), bir saldırganın bu özelliği kullanan bir uygulamaya bağlı bir dizinde kimlik doğrulaması yapabilerek REST isteklerinde bir Crowd kullanıcısını taklit etmesine izin veriyordu. Şu durum göz önüne alındığında: Crowd uygulaması dizin 1'e bağlıysa ve 'admin' adlı bir kullanıcıya sahipse ve Google Apps uygulaması da aynı şekilde 'admin' adlı bir kullanıcıya sahip olan dizin 2'ye bağlıysa, dizin 2'den gelen kullanıcının kimlik bilgileriyle REST isteklerinde kimlik doğrulaması yapmak ve dizin 1'deki kullanıcıyı taklit etmek mümkündü.