CVE-2026-49379

ŚrednieCVSS 6.5

Opublikowano: 29/05/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

W JetBrains TeamCity przed wersją 2026.1 odkryto, że poświadczenia mogą być ujawniane w nazwach wątków (thread names).

Ocena ryzyka

Poświadczenia mogą wyciec do logów lub innych widoków systemowych, co umożliwia nieautoryzowany dostęp do systemu.

Rekomendacja

Należy zaktualizować JetBrains TeamCity do wersji 2026.1 lub nowszej.

Inne podatności w JetBrains TeamCity

Zobacz wszystkie

CVE-2026-44413Wysokie
W wersjach JetBrains TeamCity przed 2026.1 oraz 2025.11.5, uwierzytelnieni użytkownicy mogli ujawniać API serwera osobom nieuprawnionym.
CVE-2026-63077KrytyczneAktywnie exploitowane
W JetBrains TeamCity przed wersjami 2026.1.3 i 2025.11.7 możliwe jest nieuwierzytelnione zdalne wykonanie kodu poprzez protokół agent polling.
CVE-2026-65907Krytyczne
W JetBrains TeamCity przed wersjami 2026.1.2 i 2025.11.6 możliwe było wykonanie kodu w korzeniach VCS Git.
CVE-2023-41249Średnie
W wersjach JetBrains TeamCity przed 2023.05.3 istniała możliwość wystąpienia refleksyjnego ataku XSS podczas kopiowania kroku budowania.
CVE-2023-34225Średnie
W wersjach JetBrains TeamCity przed 2023.05 występowała podatność na przechowywane XSS w stronie z feedem NuGet.
CVE-2023-34220Średnie
W wersjach JetBrains TeamCity przed 2023.05 występowała podatność na przechowywane XSS w oknie publikacji statusu commitów.
CVE-2023-34218Krytyczne
W JetBrains TeamCity przed wersją 2023.05 istniała możliwość obejścia kontroli uprawnień, co pozwalało na wykonywanie działań administracyjnych.
CVE-2026-65906Wysokie
W JetBrains TeamCity przed wersjami 2026.1.2 i 2025.11.6 możliwe było wykonanie kodu poprzez ucieczkę z piaskownicy Kotlin DSL.
CVE-2026-59796Wysokie
W JetBrains TeamCity przed wersją 2026.1.2 wykryto podatność umożliwiającą modyfikację potoku (pipeline) z powodu nieprawidłowego sprawdzania uprawnień.
CVE-2026-59795Wysokie
W JetBrains TeamCity przed wersją 2026.1.2 odkryto podatność na trwały atak XSS (stored cross-site scripting) poprzez niezautoryzowaną rejestrację agenta. Atakujący może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarkach innych użytkowników.

Oryginalny opis (angielski, źródło NVD)

In JetBrains TeamCity before 2026.1 credentials could be exposed in thread names