CVE-2026-103488
WysokieCVSS 7.1Streszczenie
W JetBrains YouTrack w wersjach przed 2026.2.19422 brak autoryzacji pozwalał uwierzytelnionym użytkownikom na dodanie siebie do zespołów projektowych i dostęp do zastrzeżonych zgłoszeń. Podatność umożliwia obejście kontroli dostępu.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do poufnych zgłoszeń i projektów, do których nie powinien mieć dostępu. Stanowi to ryzyko wycieku informacji i nieautoryzowanych działań.
Rekomendacja
Zaktualizuj JetBrains YouTrack do wersji 2026.2.19422 lub nowszej. Sprawdź członkostwo w zespołach projektowych i zweryfikuj uprawnienia do zgłoszeń.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-103497Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.
- CVE-2026-103496Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.
- CVE-2026-103495Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.
- CVE-2026-103493Wysokie
W JetBrains YouTrack w wersjach przed 2026.2.19422 występuje trwałe wstrzyknięcie skryptu (stored XSS) poprzez treści Mermaid i LaTeX. Podatność pozwala na wykonanie dowolnego skryptu w przeglądarce użytkownika.
- CVE-2026-103492Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.
- CVE-2026-103491Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.
- CVE-2026-103489Niskie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwa była injekcja HTML w powiadomieniach o niepowodzeniu polecenia VCS.
- CVE-2026-86478Krytyczne
W JetBrains YouTrack przed wersjami 2025.3.161254 i 2026.1.14042 nieprawidłowe uwierzytelnianie w YouTrack Helpdesk umożliwiało niezalogowanemu atakującemu przejęcie konta poprzez samodzielnie zadeklarowany adres e-mail.
- CVE-2026-62422Krytyczne
W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.
- CVE-2026-103494Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 eskalacja uprawnień była możliwa poprzez zmiany członkostwa w grupach użytkowników.
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2026.2.19422 missing authorisation allowed authenticated users to add themselves to project teams and access restricted issues
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS