CVE-2026-123288
ŚrednieCVSS 5.4Streszczenie
W JetBrains Datalore przed wersją 2026.4 możliwy był atak typu stored XSS w wykresach notebooka poprzez link do edytora Vega.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych.
Rekomendacja
Zaktualizuj JetBrains Datalore do wersji 2026.4 lub nowszej, aby usunąć podatność stored XSS.
Inne podatności w JetBrains Datalore
Zobacz wszystkie- CVE-2026-123292Niskie
W JetBrains Datalore przed wersją 2026.4 tokeny API oraz sesje usuniętych lub zablokowanych użytkowników pozostawały ważne. Oznacza to, że odebranie dostępu takiemu użytkownikowi nie unieważniało jego aktywnej sesji ani tokenu.
- CVE-2026-123291Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa walidacja właściciela pozwalała na odczyt problemów i uruchomień notebooka innego obszaru roboczego.
- CVE-2026-123290Średnie
W JetBrains Datalore przed wersją 2026.4 ukryty kod notebooka był ujawniany nieuwierzytelnionym użytkownikom poprzez publiczny punkt końcowy zawartości interaktywnego raportu.
- CVE-2026-123289Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała przeglądającym notebooki na modyfikowanie plików.
- CVE-2026-123287Średnie
W JetBrains Datalore przed wersją 2026.4 prywatne pliki notebooków mogły być pobierane bez uwierzytelnienia poprzez opublikowane raporty interaktywne.
- CVE-2026-123286Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała na odczyt tokenu sesji magazynu plików właściciela notebooka.
- CVE-2026-123285Średnie
W JetBrains Datalore przed wersją 2026.3 możliwe było wykonanie poleceń w kontenerze zadań bazy danych poprzez iniekcję opcji JVM.
- CVE-2026-123284Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja przy przenoszeniu obszarów roboczych pozwalała współpracownikom z uprawnieniami tylko do odczytu modyfikować udostępnioną zawartość.
- CVE-2026-123283Średnie
W JetBrains Datalore przed wersją 2026.4 możliwe było przejęcie konta poprzez logowanie SSO do wcześniej zarejestrowanego konta.
- CVE-2026-123282Wysokie
W JetBrains Datalore przed wersją 2026.4 brakowało walidacji wygaśnięcia tokenów konta, co umożliwiało utworzenie nowej uwierzytelnionej sesji przy użyciu nieaktualnego tokenu.
Oryginalny opis (angielski, źródło NVD)
In JetBrains Datalore before 2026.4 stored XSS in notebook charts was possible via Vega editor link
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS