CVE-2026-86491
NiskieCVSS 3.5Streszczenie
W JetBrains YouTrack przed wersją 2026.2.18634 możliwy był przechowywany XSS (Stored Cross-Site Scripting) poprzez przesyłanie ikon projektów i organizacji.
Ocena ryzyka
Ryzyko obejmuje możliwość wstrzyknięcia złośliwego skryptu przez atakującego, który wykona się w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub przejęcia kont.
Rekomendacja
Zaleca się aktualizację YouTrack do wersji 2026.2.18634 lub nowszej, która zawiera poprawkę zabezpieczającą przed XSS.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-86500Średnie
W JetBrains YouTrack przed wersją 2026.1.14047 brak kontroli eskalacji uprawnień umożliwiał użytkownikowi z uprawnieniami do aktualizacji projektu nadanie sobie roli administratora projektu.
- CVE-2026-86499Średnie
W JetBrains YouTrack przed wersją 2026.1.14047 predefiniowane pola wyszukiwania ujawniały wszystkie nazwy grup każdemu użytkownikowi, niezależnie od uprawnień widoczności.
- CVE-2026-86497Średnie
W JetBrains YouTrack przed wersją 2026.2.18769 zmiana hosta skrzynki pocztowej bez ponownego uwierzytelnienia umożliwiała administratorowi projektu eksfiltrację zapisanych poświadczeń skrzynki pocztowej.
- CVE-2026-86496Średnie
W JetBrains YouTrack przed wersją 2026.2.18769 brak kontroli dostępu do autoryzowanych reporterów Helpdesk ujawniał adresy e-mail reporterów.
- CVE-2026-86495Średnie
W JetBrains YouTrack przed wersją 2026.2.18687 brak kontroli uprawnień umożliwiał tworzenie artykułów bazy wiedzy w projektach, do których użytkownik nie miał dostępu.
- CVE-2026-86493Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało użytkownikom tylko do odczytu tworzenie i modyfikowanie kart na tablicach (whiteboard).
- CVE-2026-86490Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało nadpisanie wbudowanych aplikacji przez punkt końcowy importu aplikacji.
- CVE-2026-86489Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w API profilu użytkownika ujawniała prywatne zgłoszenia i oznaczone foldery między organizacjami.
- CVE-2026-86488Średnie
W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w punktach końcowych watchRules i issueListConfig ujawniała prywatne zapisane wyszukiwania.
- CVE-2026-86487Niskie
W JetBrains YouTrack przed wersją 2026.2.18634 spreparowana wiadomość WebSocket umożliwiała użytkownikom tablicy z uprawnieniami tylko do odczytu modyfikację zawartości płótna (canvas).
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2026.2.18634 stored XSS was possible via project and organization icon uploads