CVE-2022-37009
NiskieCVSS 3.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W JetBrains IntelliJ IDEA przed wersją 2022.2 możliwe było lokalne wykonanie kodu przez plik wykonywalny Vagrant. Podatność ta pozwalała na uruchomienie złośliwego kodu w kontekście użytkownika.
Ocena ryzyka
Lokalne wykonanie kodu może umożliwić atakującemu przejęcie kontroli nad systemem deweloperskim, kradzież danych lub dalszy atak w sieci wewnętrznej.
Rekomendacja
Zaleca się aktualizację IntelliJ IDEA do wersji 2022.2 lub nowszej, która eliminuje tę podatność.
Inne podatności w JetBrains IntelliJ IDEA
Zobacz wszystkie- CVE-2026-41882Wysokie
W wersjach JetBrains IntelliJ IDEA przed 2024.3.7.1, 2025.1.7.1, 2025.2.6.2, 2025.3.4.1 oraz 2026.1.1 istniała możliwość odczytu dowolnych lokalnych plików za pomocą wbudowanego serwera WWW.
- CVE-2026-64812Krytyczne
W JetBrains IntelliJ IDEA przed wersją 2026.2 istnieje możliwość nieautoryzowanego wstrzyknięcia danych wejściowych podczas sesji Zdalnego Rozwoju.
- CVE-2026-100256Wysokie
W JetBrains IntelliJ IDEA przed wersją 2026.2.3 możliwe było zdalne wykonanie kodu (RCE) przez ograniczenia skryptów w wyszukiwaniu strukturalnym w niezaufanych projektach.
- CVE-2026-86505Niskie
W JetBrains IntelliJ IDEA przed wersją 2026.2.2 brak sprawdzenia zaufania do projektu spowodował wyciek metadanych projektu do JetBrains Marketplace.
- CVE-2026-86503Niskie
W JetBrains IntelliJ IDEA przed wersją 2026.2.2 otwarcie niezaufanego projektu mogło wywołać SSRF (Server-Side Request Forgery) poprzez pobieranie adresów URL ze specyfikacji źródła Kubernetes.
- CVE-2026-86501Niskie
W JetBrains IntelliJ IDEA przed wersją 2026.2.2 dane wprowadzane w poleceniach terminala mogły być zapisywane do pliku idea.log.
- CVE-2026-75058Średnie
W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwy był atak XXE w importerach ustawień Eclipse.
- CVE-2026-75057Średnie
W JetBrains IntelliJ IDEA przed wersją 2026.1.5 poświadczenia git były zapisywane w postaci zwykłego tekstu w logach IDE.
- CVE-2026-75056Wysokie
W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwe było zdalne wykonanie kodu (RCE) poprzez narzędzie eksportu do Markdown.
- CVE-2026-75055Średnie
W JetBrains IntelliJ IDEA przed wersją 2026.2.1 menedżer zasobów Hadoop (ResourceManager) mógł odczytywać lokalne pliki poprzez XXE.
Oryginalny opis (angielski, źródło NVD)
In JetBrains IntelliJ IDEA before 2022.2 local code execution via a Vagrant executable was possible
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS