CVE-2026-86504
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
W JetBrains IntelliJ IDEA przed wersją 2026.2.2 brak potwierdzenia zaufania projektu przed zbudowaniem Dev Contenera umożliwiał wykonanie kodu na poziomie hosta.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego kodu na hoście przez nieświadomego użytkownika, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację IntelliJ IDEA do wersji 2026.2.2 lub nowszej. Należy również zachować ostrożność przy otwieraniu projektów z nieznanych źródeł.
Inne podatności w IntelliJ IDEA
Zobacz wszystkie- CVE-2026-64813Krytyczne
W JetBrains IntelliJ IDEA przed wersją 2026.2 możliwa była nieautoryzowana modyfikacja ustawień w sesji zdalnego rozwoju (Remote Development).
- CVE-2026-59792Krytyczne
W JetBrains IntelliJ IDEA przed wersją 2026.1.4 oraz 2026.2 wykryto podatność umożliwiającą wykonanie kodu poprzez przejście ścieżki (path traversal) w obsłudze identyfikatora obszaru roboczego projektu.
- CVE-2026-86502Wysokie
W JetBrains IntelliJ IDEA przed wersją 2026.2.2 brak TLS i uwierzytelniania na serwerze gRPC IJent umożliwiał lokalne wykonanie kodu na hostach zdalnego rozwoju.
- CVE-2026-64814Wysokie
W środowisku IntelliJ IDEA przed wersją 2026.2 istnieje podatność umożliwiająca nieautoryzowany dostęp do plików podczas sesji zdalnego rozwoju. Atakujący może uzyskać dostęp do plików, do których nie powinien mieć uprawnień.
- CVE-2026-49383Niskie
W JetBrains IntelliJ IDEA przed wersją 2026.1 wykryto podatność w parserze formularzy UI Designer, umożliwiającą atak XXE (XML External Entity).
Oryginalny opis (angielski, źródło NVD)
In JetBrains IntelliJ IDEA before 2026.2.2 missing project-trust confirmation before building a Dev Container allowed host-level code execution