Podatności JetBrains YouTrack

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.

W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.

W JetBrains YouTrack w wersjach przed 2026.2.19422 występuje trwałe wstrzyknięcie skryptu (stored XSS) poprzez treści Mermaid i LaTeX. Podatność pozwala na wykonanie dowolnego skryptu w przeglądarce użytkownika.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.

W JetBrains YouTrack przed wersjami 2025.3.161254 i 2026.1.14042 nieprawidłowe uwierzytelnianie w YouTrack Helpdesk umożliwiało niezalogowanemu atakującemu przejęcie konta poprzez samodzielnie zadeklarowany adres e-mail.

W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwa była iniekcja CSS w diagramach Mermaid poprzez dyrektywy konfiguracyjne.

W JetBrains YouTrack przed wersją 2026.2.19656 użytkownicy bez uprawnień do aktualizacji mogli zmieniać widoczność zgłoszeń.

W JetBrains YouTrack przed wersją 2026.2.19728 limit rozmiaru załączników można było obejść poprzez konwersję wątku asystenta AI.

W JetBrains YouTrack przed wersjami 2026.2.19562, 2026.1.14137 i 2025.3.169041 występuje brak autoryzacji, który pozwala na przypisywanie tagów do dowolnego zgłoszenia poprzez kolekcję tag issues.

W JetBrains YouTrack przed wersją 2026.2.19562 administratorzy projektu powiązanego mogli usuwać integracje VCS należące do innego projektu.

W JetBrains YouTrack przed wersją 2026.2.19562 tworzenie sprintu pozwalało na przenoszenie zgłoszeń z niedostępnych projektów między sprintami.

W JetBrains YouTrack przed wersją 2026.2.19562 brak autoryzacji pozwalał administratorowi projektu zarządzać konfiguracjami serwera hostingu VCS.

W JetBrains YouTrack przed wersją 2026.2.19197 redaktorzy artykułów mogli zmieniać widoczność ograniczonych artykułów podrzędnych.

W JetBrains YouTrack przed wersją 2026.2.19562 brak autoryzacji pozwalał użytkownikom z dostępem tylko do odczytu zmieniać ustawienia widoczności zgłoszeń.

W JetBrains YouTrack przed wersją 2026.2.19562 brak autoryzacji w integracji z TeamCity pozwalał na ujawnienie akcji innych projektów.

W JetBrains YouTrack przed wersją 2026.2.19656 obejście uprawnień aplikacji pozwalało na eskalację uprawnień poprzez kartę projektu.

W JetBrains YouTrack przed wersją 2026.2.19562 brak autoryzacji w punkcie końcowym zapisanych zapytań umożliwiał ujawnienie opisów zgłoszeń.

W JetBrains YouTrack przed wersją 2026.2.19197 nieprawidłowa autoryzacja w debuggerze skryptów umożliwiała ujawnienie i zawieszenie skryptów workflow.

W JetBrains YouTrack przed wersjami 2025.3.170763, 2026.1.14150, 2026.2.19656 możliwe było włączenie niezaufanego zdalnego kodu poprzez stronę piaskownicy wtyczek.

W JetBrains YouTrack przed wersją 2026.2.19562 możliwe było ujawnienie informacji poprzez historię wiadomości współdzielonej skrzynki pocztowej.

W JetBrains YouTrack przed wersjami 2025.3.170763, 2026.1.14150, 2026.2.19656 nieprawidłowa walidacja URL w hoście widgetów aplikacji pozwalała aplikacjom wysyłać żądania REST bez potwierdzenia użytkownika.

W JetBrains YouTrack przed wersjami 2026.2.19575, 2026.3.16075, 2026.3.16397 i 2026.3.16402 reguły pocztowe pozwalały administratorowi projektu na wykonywanie poleceń dotyczących zgłoszeń w innych projektach. Narusza to izolację uprawnień między projektami.

W JetBrains YouTrack przed wersją 2026.2.19422 eskalacja uprawnień była możliwa poprzez zmiany członkostwa w grupach użytkowników.

W JetBrains YouTrack w wersjach przed 2026.2.19422 możliwe było podniesienie uprawnień poprzez linki do grup użytkowników. Podatność pozwala użytkownikowi na uzyskanie wyższych uprawnień niż te, które powinien posiadać.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwa była injekcja HTML w powiadomieniach o niepowodzeniu polecenia VCS.

W JetBrains YouTrack w wersjach przed 2026.2.19422 brak autoryzacji pozwalał uwierzytelnionym użytkownikom na dodanie siebie do zespołów projektowych i dostęp do zastrzeżonych zgłoszeń. Podatność umożliwia obejście kontroli dostępu.

W JetBrains YouTrack przed wersją 2026.2.19197 możliwe było utworzenie projektu z nieczytelnego niestandardowego szablonu.

W JetBrains YouTrack przed wersją 2026.2.19197 zmiana adresu URL integracji ujawniała przechowywane w niej poświadczenia. Osoba mogąca edytować integrację mogła uzyskać dostęp do danych uwierzytelniających.

W JetBrains YouTrack przed wersją 2026.2.19197 użytkownicy z ograniczonymi uprawnieniami mogli edytować i ukrywać komentarze innych użytkowników. Narusza to integralność danych i kontrolę dostępu.

W JetBrains YouTrack przed wersją 2026.2.19197 możliwe było przejęcie konta przez powtórne użycie sygnatury powiadomienia.

W JetBrains YouTrack przed wersją 2026.2.19197 użytkownicy-goście mogli usunąć ograniczenie widoczności akcji workflow i uruchomić tę akcję. Pozwala to na obejście mechanizmów kontroli dostępu.

W JetBrains YouTrack przed wersją 2026.2.19197 możliwy był trwały atak XSS w powiadomieniu o błędzie workflow. Złośliwy kod mógł być przechowywany i wykonywany w przeglądarce ofiary.

W JetBrains YouTrack przed wersją 2026.2.19197 administrator projektu mógł wywołać atak DoS poprzez szablon powiadomienia. Może to prowadzić do niedostępności usługi.

W JetBrains YouTrack przed wersją 2026.2.19197 występuje obejście autoryzacji w debugerze skryptów, które umożliwia wykonanie dowolnego kodu.

W JetBrains YouTrack przed wersją 2026.2.19197 brak autoryzacji w podglądzie szablonu powiadomień pozwalał administratorom projektów czytać zastrzeżone zgłoszenia. Narusza to poufność danych.

W JetBrains YouTrack przed wersją 2026.2.19197 brak autoryzacji na kilku punktach końcowych umożliwiał uwierzytelnionym użytkownikom dostęp do informacji z innych projektów.

W JetBrains YouTrack przed wersją 2026.2.19197 użytkownicy z uprawnieniami Admin Read niskiego poziomu mogli ujawnić poświadczenia integracji poprzez konfiguracje importu.

W JetBrains YouTrack przed wersją 2026.2.19197 można było obejść listę autoryzowanych reporterów w projekcie helpdesk. Pozwala to na nieautoryzowane zgłaszanie spraw.

W JetBrains YouTrack przed wersją 2026.2.19197 administratorzy projektów mogli czytać komentarze z innych projektów za pomocą szablonów powiadomień.

W JetBrains YouTrack przed wersją 2026.2.19197 możliwy był atak reDoS poprzez filtry reguł poczty oparte na wyrażeniach regularnych. Może to prowadzić do nadmiernego zużycia zasobów.

W JetBrains YouTrack przed wersją 2026.2.18991 przechowywane poświadczenia serwera SMTP mogły zostać ujawnione poprzez zmianę hosta serwera.

W JetBrains YouTrack przed wersją 2026.2.18991 możliwa była trwała injekcja HTML poprzez nagłówek User-Agent. Złośliwa treść mogła być przechowywana i wyświetlana innym użytkownikom.

W JetBrains YouTrack przed wersją 2026.2.18991 brak autoryzacji pozwalał użytkownikom z dostępem tylko do odczytu w projekcie na nadpisywanie szablonów powiadomień projektu.

W JetBrains YouTrack przed wersją 2026.2.18991 możliwa była zmiana ustawień widoczności artykułów bez posiadania uprawnień do aktualizacji.

W JetBrains YouTrack przed wersją 2026.2.18991 integracja skrzynki pocztowej umożliwiała uwierzytelnienie po zresetowaniu hasła.

W JetBrains YouTrack przed wersją 2026.2.18991 nieprawidłowa kontrola dostępu na wykresie Gantta pozwalała na edycję użytkownikom z dostępem tylko do odczytu.

W JetBrains YouTrack przed wersją 2026.2.18991 brak autoryzacji pozwalał użytkownikom z dostępem tylko do odczytu na odczyt ustawień projektu.