CVE-2026-123325
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W JetBrains YouTrack przed wersjami 2025.3.170763, 2026.1.14150, 2026.2.19656 możliwe było włączenie niezaufanego zdalnego kodu poprzez stronę piaskownicy wtyczek.
Ocena ryzyka
Może to prowadzić do wykonania niezaufanego kodu w kontekście aplikacji i potencjalnego przejęcia kontroli nad systemem.
Rekomendacja
Zaktualizuj JetBrains YouTrack do wersji 2025.3.170763, 2026.1.14150, 2026.2.19656 lub nowszej.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-103497Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.
- CVE-2026-103496Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.
- CVE-2026-103495Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.
- CVE-2026-103493Wysokie
W JetBrains YouTrack w wersjach przed 2026.2.19422 występuje trwałe wstrzyknięcie skryptu (stored XSS) poprzez treści Mermaid i LaTeX. Podatność pozwala na wykonanie dowolnego skryptu w przeglądarce użytkownika.
- CVE-2026-103492Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.
- CVE-2026-103491Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.
- CVE-2026-86478Krytyczne
W JetBrains YouTrack przed wersjami 2025.3.161254 i 2026.1.14042 nieprawidłowe uwierzytelnianie w YouTrack Helpdesk umożliwiało niezalogowanemu atakującemu przejęcie konta poprzez samodzielnie zadeklarowany adres e-mail.
- CVE-2026-62422Krytyczne
W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.
- CVE-2026-123850Niskie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwa była iniekcja CSS w diagramach Mermaid poprzez dyrektywy konfiguracyjne.
- CVE-2026-123337Niskie
W JetBrains YouTrack przed wersją 2026.2.19656 użytkownicy bez uprawnień do aktualizacji mogli zmieniać widoczność zgłoszeń.
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2025.3.170763, 2026.1.14150, 2026.2.19656 inclusion of untrusted remote code was possible via the plugin sandbox page
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS