CVE-2026-49385
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W JetBrains YouTrack przed wersją 2026.1.13570 występuje problem z nieprawidłową kontrolą dostępu, który umożliwia użytkownikom o niskich uprawnieniach modyfikację kont serwisowych.
Ocena ryzyka
Ryzyko polega na możliwości eskalacji uprawnień przez nieautoryzowanych użytkowników, co może prowadzić do naruszenia integralności i poufności systemu.
Rekomendacja
Zaleca się aktualizację JetBrains YouTrack do wersji 2026.1.13570 lub nowszej.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-62422Krytyczne
W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.
- CVE-2026-75051Wysokie
W JetBrains YouTrack przed wersją 2026.2.17917 możliwy był nieautoryzowany transfer projektu między organizacjami.
- CVE-2026-75050Wysokie
W JetBrains YouTrack przed wersjami 2026.1.13901 i 2026.2.17950 możliwy był atak DoS (odmowa usługi) poprzez spreparowane parametry typów.
- CVE-2026-75049Średnie
W JetBrains YouTrack przed wersjami 2026.1.13903 i 2026.2.17950 uwierzytelniony użytkownik mógł odczytać zastrzeżone artykuły z innych projektów przez punkt końcowy tworzenia wersji roboczych.
- CVE-2026-75048Wysokie
W JetBrains YouTrack przed wersją 2026.2.18068 występował przechowywany XSS (cross-site scripting) przez etykietę języka w blokach kodu fenced.
- CVE-2026-75047Średnie
W JetBrains YouTrack przed wersją 2026.2.18177 możliwy był atak DoS (Denial of Service) poprzez bombę dekompresyjną w punkcie końcowym importu.
- CVE-2026-75046Średnie
W JetBrains YouTrack przed wersją 2026.2.18112 uwierzytelniony użytkownik mógł enumerować konta przez punkt końcowy wyszukiwania użytkowników.
- CVE-2026-75044Wysokie
W JetBrains YouTrack przed wersjami 2025.3.156085, 2026.1.13914 i 2026.2.18095 brak autoryzacji pozwalał uwierzytelnionemu użytkownikowi na usuwanie dowolnych encji przez endpoint skrzynki mailowej.
- CVE-2026-61492Niskie
W JetBrains YouTrack przed wersją 2026.2.17394 odkryto podatność na trwały atak XSS (stored cross-site scripting) poprzez tytuły artykułów w wiadomościach e-mail typu digest. Atakujący może wstrzyknąć złośliwy kod JavaScript do tytułu artykułu, który zostanie wykonany w przeglądarce odbiorcy wiadomości.
- CVE-2026-59791Niskie
W JetBrains YouTrack przed wersją 2026.2.17012 odkryto podatność na wstrzykiwanie CSS (cSS injection) poprzez renderowanie diagramów Mermaid. Atakujący może wykorzystać tę lukę do modyfikacji wyglądu strony lub potencjalnie do kradzieży danych.
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2026.1.13570 improper access control allowed low-privileged users to modify service accounts