CVE-2026-86490
ŚrednieCVSS 6.5Streszczenie
W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało nadpisanie wbudowanych aplikacji przez punkt końcowy importu aplikacji.
Ocena ryzyka
Atakujący może zmodyfikować wbudowane aplikacje, co może prowadzić do nieautoryzowanych zmian w systemie i potencjalnego przejęcia kontroli.
Rekomendacja
Zaktualizuj YouTrack do wersji 2026.2.18634 lub nowszej, aby wyeliminować tę podatność.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-86500Średnie
W JetBrains YouTrack przed wersją 2026.1.14047 brak kontroli eskalacji uprawnień umożliwiał użytkownikowi z uprawnieniami do aktualizacji projektu nadanie sobie roli administratora projektu.
- CVE-2026-86499Średnie
W JetBrains YouTrack przed wersją 2026.1.14047 predefiniowane pola wyszukiwania ujawniały wszystkie nazwy grup każdemu użytkownikowi, niezależnie od uprawnień widoczności.
- CVE-2026-86497Średnie
W JetBrains YouTrack przed wersją 2026.2.18769 zmiana hosta skrzynki pocztowej bez ponownego uwierzytelnienia umożliwiała administratorowi projektu eksfiltrację zapisanych poświadczeń skrzynki pocztowej.
- CVE-2026-86496Średnie
W JetBrains YouTrack przed wersją 2026.2.18769 brak kontroli dostępu do autoryzowanych reporterów Helpdesk ujawniał adresy e-mail reporterów.
- CVE-2026-86495Średnie
W JetBrains YouTrack przed wersją 2026.2.18687 brak kontroli uprawnień umożliwiał tworzenie artykułów bazy wiedzy w projektach, do których użytkownik nie miał dostępu.
- CVE-2026-86493Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało użytkownikom tylko do odczytu tworzenie i modyfikowanie kart na tablicach (whiteboard).
- CVE-2026-86491Niskie
W JetBrains YouTrack przed wersją 2026.2.18634 możliwy był przechowywany XSS (Stored Cross-Site Scripting) poprzez przesyłanie ikon projektów i organizacji.
- CVE-2026-86489Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w API profilu użytkownika ujawniała prywatne zgłoszenia i oznaczone foldery między organizacjami.
- CVE-2026-86488Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w punktach końcowych watchRules i issueListConfig ujawniała prywatne zapisane wyszukiwania.
- CVE-2026-86487Niskie
W JetBrains YouTrack przed wersją 2026.2.18634 spreparowana wiadomość WebSocket umożliwiała użytkownikom tablicy z uprawnieniami tylko do odczytu modyfikację zawartości płótna (canvas).
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2026.2.18634 improper permission checks allowed overwriting of bundled apps via the app import endpoint