[CVE-2019-20099]所謂的測試POP3服務連通性的CSRF

講了Jira的CSRF簡單的防禦方法，比如referer的校驗，和xsrf token的校驗。但是Jira並沒有對所有敏感請求都進行驗證。比如驗證POP3 服務器連通性的這個功能就沒有。

由於這個測試POP3 服務器連通性的功能需要管理員權限，所以這個csrf腳本需要管理員觸發。散了吧。
攻擊過程需要

參考：
https://medium.com/tenable-techblog/exploiting-jira-for-host-discovery-43be3cddf023