CVE-2026-49373
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
JetBrains TeamCity przed wersją 2026.1 zawiera podatność umożliwiającą zdalne wykonanie kodu poprzez ustawienia połączenia Perforce. Atakujący może wykorzystać tę podatność do uruchomienia dowolnego kodu na serwerze TeamCity.
Ocena ryzyka
Ryzyko obejmuje całkowite przejęcie serwera TeamCity, co może prowadzić do naruszenia poufności i integralności procesów CI/CD oraz danych źródłowych.
Rekomendacja
Zaleca się natychmiastową aktualizację do JetBrains TeamCity w wersji 2026.1 lub nowszej, która usuwa tę podatność.
Inne podatności w JetBrains TeamCity
Zobacz wszystkie- CVE-2026-44413Wysokie
W wersjach JetBrains TeamCity przed 2026.1 oraz 2025.11.5, uwierzytelnieni użytkownicy mogli ujawniać API serwera osobom nieuprawnionym.
- CVE-2026-63077KrytyczneAktywnie exploitowane
W JetBrains TeamCity przed wersjami 2026.1.3 i 2025.11.7 możliwe jest nieuwierzytelnione zdalne wykonanie kodu poprzez protokół agent polling.
- CVE-2026-65907Krytyczne
W JetBrains TeamCity przed wersjami 2026.1.2 i 2025.11.6 możliwe było wykonanie kodu w korzeniach VCS Git.
- CVE-2024-27198KrytyczneAktywnie exploitowane
W JetBrains TeamCity przed wersją 2023.11.4 istnieje podatność na obejście uwierzytelniania, która umożliwia wykonanie akcji administracyjnych bez autoryzacji.
- CVE-2023-42793KrytyczneAktywnie exploitowane
W JetBrains TeamCity przed wersją 2023.05.4 możliwe było obejście uwierzytelniania prowadzące do zdalnego wykonania kodu na serwerze TeamCity.
- CVE-2023-41249Średnie
W wersjach JetBrains TeamCity przed 2023.05.3 istniała możliwość wystąpienia refleksyjnego ataku XSS podczas kopiowania kroku budowania.
- CVE-2023-34225Średnie
W wersjach JetBrains TeamCity przed 2023.05 występowała podatność na przechowywane XSS w stronie z feedem NuGet.
- CVE-2023-34220Średnie
W wersjach JetBrains TeamCity przed 2023.05 występowała podatność na przechowywane XSS w oknie publikacji statusu commitów.
- CVE-2023-34218Krytyczne
W JetBrains TeamCity przed wersją 2023.05 istniała możliwość obejścia kontroli uprawnień, co pozwalało na wykonywanie działań administracyjnych.
- CVE-2026-106219Średnie
JetBrains TeamCity przed wersją 2026.2.1 zawiera podatność polegającą na braku walidacji adresów URL submodułów Git, co umożliwia odczyt lokalnych repozytoriów na serwerze. Atakujący może wykorzystać to do uzyskania dostępu do poufnych danych.
Oryginalny opis (angielski, źródło NVD)
In JetBrains TeamCity before 2026.1 remote code execution was possible via Perforce connection settings
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS