CVE-2026-49386
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
W JetBrains YouTrack przed wersją 2026.1.13570 odkryto problem z nieprawidłową kontrolą dostępu, który umożliwiał wyliczanie (enumerację) ograniczonych zgłoszeń i artykułów na Planning Canvas.
Ocena ryzyka
Atakujący może uzyskać dostęp do informacji, które powinny być ukryte, co narusza poufność danych i może prowadzić do wycieku wrażliwych treści.
Rekomendacja
Należy zaktualizować JetBrains YouTrack do wersji 2026.1.13570 lub nowszej.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-62422Krytyczne
W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.
- CVE-2026-75051Wysokie
W JetBrains YouTrack przed wersją 2026.2.17917 możliwy był nieautoryzowany transfer projektu między organizacjami.
- CVE-2026-75050Wysokie
W JetBrains YouTrack przed wersjami 2026.1.13901 i 2026.2.17950 możliwy był atak DoS (odmowa usługi) poprzez spreparowane parametry typów.
- CVE-2026-75049Średnie
W JetBrains YouTrack przed wersjami 2026.1.13903 i 2026.2.17950 uwierzytelniony użytkownik mógł odczytać zastrzeżone artykuły z innych projektów przez punkt końcowy tworzenia wersji roboczych.
- CVE-2026-75048Wysokie
W JetBrains YouTrack przed wersją 2026.2.18068 występował przechowywany XSS (cross-site scripting) przez etykietę języka w blokach kodu fenced.
- CVE-2026-75047Średnie
W JetBrains YouTrack przed wersją 2026.2.18177 możliwy był atak DoS (Denial of Service) poprzez bombę dekompresyjną w punkcie końcowym importu.
- CVE-2026-75046Średnie
W JetBrains YouTrack przed wersją 2026.2.18112 uwierzytelniony użytkownik mógł enumerować konta przez punkt końcowy wyszukiwania użytkowników.
- CVE-2026-75044Wysokie
W JetBrains YouTrack przed wersjami 2025.3.156085, 2026.1.13914 i 2026.2.18095 brak autoryzacji pozwalał uwierzytelnionemu użytkownikowi na usuwanie dowolnych encji przez endpoint skrzynki mailowej.
- CVE-2026-61492Niskie
W JetBrains YouTrack przed wersją 2026.2.17394 odkryto podatność na trwały atak XSS (stored cross-site scripting) poprzez tytuły artykułów w wiadomościach e-mail typu digest. Atakujący może wstrzyknąć złośliwy kod JavaScript do tytułu artykułu, który zostanie wykonany w przeglądarce odbiorcy wiadomości.
- CVE-2026-59791Niskie
W JetBrains YouTrack przed wersją 2026.2.17012 odkryto podatność na wstrzykiwanie CSS (cSS injection) poprzez renderowanie diagramów Mermaid. Atakujący może wykorzystać tę lukę do modyfikacji wyglądu strony lub potencjalnie do kradzieży danych.
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2026.1.13570 improper access control allowed enumeration of restricted issues and articles on Planning Canvas