CVE-2025-22174Jira Align存在授权绕过漏洞，低权限用户可以访问未授权的API端点，泄露敏感信息。该漏洞允许具有基本用户权限的攻击者查看投资组合房间等受保护资源，而无需相应的访问权限。由于CVSS评分为4.3，机密性影响较低，因此泄露的信息量有限，但仍可能导致敏感业务信息的未授权访问。
该漏洞属于不安全的直接对象引用(IDOR)或缺失的访问控制检查。攻击者通过操纵API请求中的对象标识符或直接访问特定的API端点来绕过授权检查。Jira Align的某些API端点未正确验证用户权限，允许低权限用户访问本应需要更高权限的资源。攻击者可以利用Burp Suite等工具拦截并修改HTTP请求，访问投资组合房间等敏感信息。