CVE-2026-86489
ŚrednieCVSS 6.5Streszczenie
W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w API profilu użytkownika ujawniała prywatne zgłoszenia i oznaczone foldery między organizacjami.
Ocena ryzyka
Ujawnienie prywatnych danych może naruszyć poufność informacji i doprowadzić do wycieku wrażliwych danych między organizacjami.
Rekomendacja
Zaktualizuj YouTrack do wersji 2026.2.18634 lub nowszej, aby naprawić problem.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-86500Średnie
W JetBrains YouTrack przed wersją 2026.1.14047 brak kontroli eskalacji uprawnień umożliwiał użytkownikowi z uprawnieniami do aktualizacji projektu nadanie sobie roli administratora projektu.
- CVE-2026-86499Średnie
W JetBrains YouTrack przed wersją 2026.1.14047 predefiniowane pola wyszukiwania ujawniały wszystkie nazwy grup każdemu użytkownikowi, niezależnie od uprawnień widoczności.
- CVE-2026-86497Średnie
W JetBrains YouTrack przed wersją 2026.2.18769 zmiana hosta skrzynki pocztowej bez ponownego uwierzytelnienia umożliwiała administratorowi projektu eksfiltrację zapisanych poświadczeń skrzynki pocztowej.
- CVE-2026-86496Średnie
W JetBrains YouTrack przed wersją 2026.2.18769 brak kontroli dostępu do autoryzowanych reporterów Helpdesk ujawniał adresy e-mail reporterów.
- CVE-2026-86495Średnie
W JetBrains YouTrack przed wersją 2026.2.18687 brak kontroli uprawnień umożliwiał tworzenie artykułów bazy wiedzy w projektach, do których użytkownik nie miał dostępu.
- CVE-2026-86493Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało użytkownikom tylko do odczytu tworzenie i modyfikowanie kart na tablicach (whiteboard).
- CVE-2026-86491Niskie
W JetBrains YouTrack przed wersją 2026.2.18634 możliwy był przechowywany XSS (Stored Cross-Site Scripting) poprzez przesyłanie ikon projektów i organizacji.
- CVE-2026-86490Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało nadpisanie wbudowanych aplikacji przez punkt końcowy importu aplikacji.
- CVE-2026-86488Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w punktach końcowych watchRules i issueListConfig ujawniała prywatne zapisane wyszukiwania.
- CVE-2026-86487Niskie
W JetBrains YouTrack przed wersją 2026.2.18634 spreparowana wiadomość WebSocket umożliwiała użytkownikom tablicy z uprawnieniami tylko do odczytu modyfikację zawartości płótna (canvas).
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2026.2.18634 an IDOR in the user profile API disclosed private issues and starred folders across organizations