CVE-2026-103493
WysokieCVSS 8.1Streszczenie
W JetBrains YouTrack w wersjach przed 2026.2.19422 występuje trwałe wstrzyknięcie skryptu (stored XSS) poprzez treści Mermaid i LaTeX. Podatność pozwala na wykonanie dowolnego skryptu w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w kontekście sesji ofiary, co może prowadzić do kradzieży danych lub przejęcia konta. Ryzyko dotyczy wszystkich użytkowników systemu YouTrack.
Rekomendacja
Zaktualizuj JetBrains YouTrack do wersji 2026.2.19422 lub nowszej. Sprawdź, czy w systemie nie ma już złośliwych treści Mermaid/LaTeX.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-103497Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.
- CVE-2026-103496Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.
- CVE-2026-103495Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.
- CVE-2026-103492Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.
- CVE-2026-103491Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.
- CVE-2026-103489Niskie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwa była injekcja HTML w powiadomieniach o niepowodzeniu polecenia VCS.
- CVE-2026-103488Wysokie
W JetBrains YouTrack w wersjach przed 2026.2.19422 brak autoryzacji pozwalał uwierzytelnionym użytkownikom na dodanie siebie do zespołów projektowych i dostęp do zastrzeżonych zgłoszeń. Podatność umożliwia obejście kontroli dostępu.
- CVE-2026-86478Krytyczne
W JetBrains YouTrack przed wersjami 2025.3.161254 i 2026.1.14042 nieprawidłowe uwierzytelnianie w YouTrack Helpdesk umożliwiało niezalogowanemu atakującemu przejęcie konta poprzez samodzielnie zadeklarowany adres e-mail.
- CVE-2026-62422Krytyczne
W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.
- CVE-2026-103494Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 eskalacja uprawnień była możliwa poprzez zmiany członkostwa w grupach użytkowników.
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2026.2.19422 stored XSS via Mermaid and LaTeX content was possible
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS