Podatności JetBrains Datalore

W JetBrains Datalore przed wersją 2026.4 tokeny API oraz sesje usuniętych lub zablokowanych użytkowników pozostawały ważne. Oznacza to, że odebranie dostępu takiemu użytkownikowi nie unieważniało jego aktywnej sesji ani tokenu.

W JetBrains Datalore przed wersją 2026.4 nieprawidłowa walidacja właściciela pozwalała na odczyt problemów i uruchomień notebooka innego obszaru roboczego.

W JetBrains Datalore przed wersją 2026.4 ukryty kod notebooka był ujawniany nieuwierzytelnionym użytkownikom poprzez publiczny punkt końcowy zawartości interaktywnego raportu.

W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała przeglądającym notebooki na modyfikowanie plików.

W JetBrains Datalore przed wersją 2026.4 możliwy był atak typu stored XSS w wykresach notebooka poprzez link do edytora Vega.

W JetBrains Datalore przed wersją 2026.4 prywatne pliki notebooków mogły być pobierane bez uwierzytelnienia poprzez opublikowane raporty interaktywne.

W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała na odczyt tokenu sesji magazynu plików właściciela notebooka.

W JetBrains Datalore przed wersją 2026.3 możliwe było wykonanie poleceń w kontenerze zadań bazy danych poprzez iniekcję opcji JVM.

W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja przy przenoszeniu obszarów roboczych pozwalała współpracownikom z uprawnieniami tylko do odczytu modyfikować udostępnioną zawartość.

W JetBrains Datalore przed wersją 2026.4 możliwe było przejęcie konta poprzez logowanie SSO do wcześniej zarejestrowanego konta.

W JetBrains Datalore przed wersją 2026.4 brakowało walidacji wygaśnięcia tokenów konta, co umożliwiało utworzenie nowej uwierzytelnionej sesji przy użyciu nieaktualnego tokenu.

W JetBrains Datalore przed wersją 2026.4 kod notebooka mógł wykonywać polecenia w kontenerze sidecar poprzez mount broker.

W JetBrains Datalore przed wersją 2026.2.4 nieuwierzytelnieni użytkownicy mogli wykonywać kod poprzez opublikowane interaktywne raporty.

W JetBrains Datalore przed wersją 2026.2.1 występuje luka typu path traversal w punkcie końcowym report blob, umożliwiająca nieuwierzytelnionym atakującym odczyt dowolnych plików. Może to prowadzić do ujawnienia poufnych informacji.

W JetBrains Datalore przed wersją 2026.4 możliwe było wykonanie kodu w obliczeniach notebooka przez współpracowników z uprawnieniami tylko do odczytu.