CVE-2026-86484
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W JetBrains YouTrack przed wersją 2026.2.18634 wstrzyknięcie szablonu AngularJS w nazwach osób przypisanych prowadziło do trwałego XSS.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub innych szkodliwych działań.
Rekomendacja
Zaktualizuj YouTrack do wersji 2026.2.18634 lub nowszej, aby zapobiec atakom XSS.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-86478Krytyczne
W JetBrains YouTrack przed wersjami 2025.3.161254 i 2026.1.14042 nieprawidłowe uwierzytelnianie w YouTrack Helpdesk umożliwiało niezalogowanemu atakującemu przejęcie konta poprzez samodzielnie zadeklarowany adres e-mail.
- CVE-2026-62422Krytyczne
W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.
- CVE-2026-86500Średnie
W JetBrains YouTrack przed wersją 2026.1.14047 brak kontroli eskalacji uprawnień umożliwiał użytkownikowi z uprawnieniami do aktualizacji projektu nadanie sobie roli administratora projektu.
- CVE-2026-86499Średnie
W JetBrains YouTrack przed wersją 2026.1.14047 predefiniowane pola wyszukiwania ujawniały wszystkie nazwy grup każdemu użytkownikowi, niezależnie od uprawnień widoczności.
- CVE-2026-86497Średnie
W JetBrains YouTrack przed wersją 2026.2.18769 zmiana hosta skrzynki pocztowej bez ponownego uwierzytelnienia umożliwiała administratorowi projektu eksfiltrację zapisanych poświadczeń skrzynki pocztowej.
- CVE-2026-86496Średnie
W JetBrains YouTrack przed wersją 2026.2.18769 brak kontroli dostępu do autoryzowanych reporterów Helpdesk ujawniał adresy e-mail reporterów.
- CVE-2026-86495Średnie
W JetBrains YouTrack przed wersją 2026.2.18687 brak kontroli uprawnień umożliwiał tworzenie artykułów bazy wiedzy w projektach, do których użytkownik nie miał dostępu.
- CVE-2026-86493Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało użytkownikom tylko do odczytu tworzenie i modyfikowanie kart na tablicach (whiteboard).
- CVE-2026-86491Niskie
W JetBrains YouTrack przed wersją 2026.2.18634 możliwy był przechowywany XSS (Stored Cross-Site Scripting) poprzez przesyłanie ikon projektów i organizacji.
- CVE-2026-86490Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało nadpisanie wbudowanych aplikacji przez punkt końcowy importu aplikacji.
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2026.2.18634 angularJS template injection in assignee names led to stored XSS
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS