Podatności JetBrains YouTrack

W JetBrains YouTrack przed wersjami 2025.3.161254 i 2026.1.14042 nieprawidłowe uwierzytelnianie w YouTrack Helpdesk umożliwiało niezalogowanemu atakującemu przejęcie konta poprzez samodzielnie zadeklarowany adres e-mail.

W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.

W JetBrains YouTrack przed wersją 2026.1.14047 brak kontroli eskalacji uprawnień umożliwiał użytkownikowi z uprawnieniami do aktualizacji projektu nadanie sobie roli administratora projektu.

W JetBrains YouTrack przed wersją 2026.1.14047 predefiniowane pola wyszukiwania ujawniały wszystkie nazwy grup każdemu użytkownikowi, niezależnie od uprawnień widoczności.

W JetBrains YouTrack przed wersją 2026.2.18769 zmiana hosta skrzynki pocztowej bez ponownego uwierzytelnienia umożliwiała administratorowi projektu eksfiltrację zapisanych poświadczeń skrzynki pocztowej.

W JetBrains YouTrack przed wersją 2026.2.18769 brak kontroli dostępu do autoryzowanych reporterów Helpdesk ujawniał adresy e-mail reporterów.

W JetBrains YouTrack przed wersją 2026.2.18687 brak kontroli uprawnień umożliwiał tworzenie artykułów bazy wiedzy w projektach, do których użytkownik nie miał dostępu.

W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało użytkownikom tylko do odczytu tworzenie i modyfikowanie kart na tablicach (whiteboard).

W JetBrains YouTrack przed wersją 2026.2.18634 możliwy był przechowywany XSS (Stored Cross-Site Scripting) poprzez przesyłanie ikon projektów i organizacji.

W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało nadpisanie wbudowanych aplikacji przez punkt końcowy importu aplikacji.

W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w API profilu użytkownika ujawniała prywatne zgłoszenia i oznaczone foldery między organizacjami.

W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w punktach końcowych watchRules i issueListConfig ujawniała prywatne zapisane wyszukiwania.

W JetBrains YouTrack przed wersją 2026.2.18634 spreparowana wiadomość WebSocket umożliwiała użytkownikom tablicy z uprawnieniami tylko do odczytu modyfikację zawartości płótna (canvas).

W JetBrains YouTrack przed wersją 2026.2.18634 ogólny handler webhooka VCS działał w trybie otwartym (fail open), gdy jego sekret był pusty.

W JetBrains YouTrack przed wersją 2026.2.18634 podszywanie się pod adres IP (IP spoofing) poprzez nagłówki HTTP umożliwiało wysyłanie sfałszowanych webhooków Bitbucket.

W JetBrains YouTrack przed wersją 2026.2.18634 wstrzyknięcie szablonu AngularJS w nazwach osób przypisanych prowadziło do trwałego XSS.

W JetBrains YouTrack przed wersją 2026.2.18634 możliwy był trwały XSS poprzez niestandardowe pole na kartach tablicy Agile.

W JetBrains YouTrack przed wersją 2026.2.18634 występuje niewystarczająca walidacja przypisań ról, co pozwala na eskalację uprawnień.

W JetBrains YouTrack przed wersją 2026.2.18634 ponowne użycie podpisanego URL umożliwiało ujawnienie ikon projektów o ograniczonym dostępie.

W JetBrains YouTrack przed wersjami 2026.2.18788, 2026.1.14055 i 2025.3.161254 brak autoryzacji umożliwiał dostęp do ograniczonych zasobów REST API poprzez IDOR.

W JetBrains YouTrack przed wersją 2026.2.17917 możliwy był nieautoryzowany transfer projektu między organizacjami.

W JetBrains YouTrack przed wersjami 2026.1.13901 i 2026.2.17950 możliwy był atak DoS (odmowa usługi) poprzez spreparowane parametry typów.

W JetBrains YouTrack przed wersjami 2026.1.13903 i 2026.2.17950 uwierzytelniony użytkownik mógł odczytać zastrzeżone artykuły z innych projektów przez punkt końcowy tworzenia wersji roboczych.

W JetBrains YouTrack przed wersją 2026.2.18068 występował przechowywany XSS (cross-site scripting) przez etykietę języka w blokach kodu fenced.

W JetBrains YouTrack przed wersją 2026.2.18177 możliwy był atak DoS (Denial of Service) poprzez bombę dekompresyjną w punkcie końcowym importu.

W JetBrains YouTrack przed wersją 2026.2.18112 uwierzytelniony użytkownik mógł enumerować konta przez punkt końcowy wyszukiwania użytkowników.

W JetBrains YouTrack przed wersjami 2025.3.156085, 2026.1.13914 i 2026.2.18095 brak autoryzacji pozwalał uwierzytelnionemu użytkownikowi na usuwanie dowolnych encji przez endpoint skrzynki mailowej.

W JetBrains YouTrack przed wersją 2026.2.17394 odkryto podatność na trwały atak XSS (stored cross-site scripting) poprzez tytuły artykułów w wiadomościach e-mail typu digest. Atakujący może wstrzyknąć złośliwy kod JavaScript do tytułu artykułu, który zostanie wykonany w przeglądarce odbiorcy wiadomości.

W JetBrains YouTrack przed wersją 2026.2.17012 odkryto podatność na wstrzykiwanie CSS (cSS injection) poprzez renderowanie diagramów Mermaid. Atakujący może wykorzystać tę lukę do modyfikacji wyglądu strony lub potencjalnie do kradzieży danych.

W JetBrains YouTrack przed wersją 2026.2.16593 domyślna konfiguracja roli ujawniała nadmierne szczegóły profilu użytkownika.

W JetBrains YouTrack przed wersją 2026.2.16593 wykryto podatność polegającą na nieprawidłowej autoryzacji w punkcie końcowym konfiguracji aplikacji. Umożliwiała ona nieuprawnioną modyfikację ustawień projektu.

W JetBrains YouTrack przed wersją 2026.2.16593 odkryto podatność umożliwiającą ujawnienie ustawień projektu poprzez protokół MCP. Luka ta pozwala nieautoryzowanym użytkownikom na dostęp do wrażliwych konfiguracji projektów.

W JetBrains YouTrack przed wersją 2026.1.13570 odkryto problem z nieprawidłową kontrolą dostępu, który umożliwiał wyliczanie (enumerację) ograniczonych zgłoszeń i artykułów na Planning Canvas.

W JetBrains YouTrack przed wersją 2026.1.13570 występuje problem z nieprawidłową kontrolą dostępu, który umożliwia użytkownikom o niskich uprawnieniach modyfikację kont serwisowych.

JetBrains YouTrack przed wersją 2026.1.13162 umożliwia przechowywany atak XSS w szablonach powiadomień projektowych.

W wersjach JetBrains YouTrack przed 2023.1.16597 występował problem z niewłaściwą walidacją captcha w formularzach Helpdesk.

W wersjach JetBrains YouTrack przed 2023.1.10518 występowała podatność na przechowywane XSS w silniku renderującym Markdown.

W wersjach JetBrains YouTrack przed 2023.1.10518 istniała możliwość przeprowadzenia ataku DoS za pomocą formularzy pomocy technicznej.