CVE-2026-75055
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W JetBrains IntelliJ IDEA przed wersją 2026.2.1 menedżer zasobów Hadoop (ResourceManager) mógł odczytywać lokalne pliki poprzez XXE.
Ocena ryzyka
Atakujący może wykorzystać XXE do odczytu lokalnych plików, co może prowadzić do ujawnienia wrażliwych danych konfiguracyjnych lub danych źródłowych w środowisku deweloperskim.
Rekomendacja
Zaleca się aktualizację IntelliJ IDEA do wersji 2026.2.1 lub nowszej, aby naprawić podatność XXE.
Inne podatności w JetBrains IntelliJ IDEA
Zobacz wszystkie- CVE-2026-41882Wysokie
W wersjach JetBrains IntelliJ IDEA przed 2024.3.7.1, 2025.1.7.1, 2025.2.6.2, 2025.3.4.1 oraz 2026.1.1 istniała możliwość odczytu dowolnych lokalnych plików za pomocą wbudowanego serwera WWW.
- CVE-2026-64812Krytyczne
W JetBrains IntelliJ IDEA przed wersją 2026.2 istnieje możliwość nieautoryzowanego wstrzyknięcia danych wejściowych podczas sesji Zdalnego Rozwoju.
- CVE-2026-100256Wysokie
W JetBrains IntelliJ IDEA przed wersją 2026.2.3 możliwe było zdalne wykonanie kodu (RCE) przez ograniczenia skryptów w wyszukiwaniu strukturalnym w niezaufanych projektach.
- CVE-2026-86505Niskie
W JetBrains IntelliJ IDEA przed wersją 2026.2.2 brak sprawdzenia zaufania do projektu spowodował wyciek metadanych projektu do JetBrains Marketplace.
- CVE-2026-86503Niskie
W JetBrains IntelliJ IDEA przed wersją 2026.2.2 otwarcie niezaufanego projektu mogło wywołać SSRF (Server-Side Request Forgery) poprzez pobieranie adresów URL ze specyfikacji źródła Kubernetes.
- CVE-2026-86501Niskie
W JetBrains IntelliJ IDEA przed wersją 2026.2.2 dane wprowadzane w poleceniach terminala mogły być zapisywane do pliku idea.log.
- CVE-2026-75058Średnie
W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwy był atak XXE w importerach ustawień Eclipse.
- CVE-2026-75057Średnie
W JetBrains IntelliJ IDEA przed wersją 2026.1.5 poświadczenia git były zapisywane w postaci zwykłego tekstu w logach IDE.
- CVE-2026-75056Wysokie
W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwe było zdalne wykonanie kodu (RCE) poprzez narzędzie eksportu do Markdown.
- CVE-2026-75054Średnie
W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwy był atak SSRF poprzez proxy podglądu OpenAPI w niezaufanych projektach.
Oryginalny opis (angielski, źródło NVD)
In JetBrains IntelliJ IDEA before 2026.2.1 hadoop ResourceManager could read local files via XXE
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS