Katalog podatności CVE

W JetBrains YouTrack przed wersją 2026.2.17917 możliwy był nieautoryzowany transfer projektu między organizacjami.

W JetBrains YouTrack przed wersjami 2026.1.13901 i 2026.2.17950 możliwy był atak DoS (odmowa usługi) poprzez spreparowane parametry typów.

W JetBrains YouTrack przed wersjami 2026.1.13903 i 2026.2.17950 uwierzytelniony użytkownik mógł odczytać zastrzeżone artykuły z innych projektów przez punkt końcowy tworzenia wersji roboczych.

W JetBrains YouTrack przed wersją 2026.2.18068 występował przechowywany XSS (cross-site scripting) przez etykietę języka w blokach kodu fenced.

W JetBrains YouTrack przed wersją 2026.2.18177 możliwy był atak DoS (Denial of Service) poprzez bombę dekompresyjną w punkcie końcowym importu.

W JetBrains YouTrack przed wersją 2026.2.18112 uwierzytelniony użytkownik mógł enumerować konta przez punkt końcowy wyszukiwania użytkowników.

W JetBrains YouTrack przed wersjami 2025.3.156085, 2026.1.13913, 2026.2.18112 nieuwierzytelniony atakujący mógł pobrać kopie zapasowe bazy danych za pomocą współdzielonego podpisu wersji roboczej.

W JetBrains YouTrack przed wersjami 2025.3.156085, 2026.1.13914 i 2026.2.18095 brak autoryzacji pozwalał uwierzytelnionemu użytkownikowi na usuwanie dowolnych encji przez endpoint skrzynki mailowej.

Podatność w jae-jae fetcher-mcp do wersji 0.3.9 dotyczy funkcji fetch_url/fetch_urls w komponencie URL Validation, co umożliwia atak SSRF (Server-Side Request Forgery). Atak może być przeprowadzony zdalnie.

W PostCSS przed wersją 8.5.18 funkcja loadMap() w lib/previous-map.js przekazuje kontrolowane przez atakującego wartości sourceMappingURL do join(dirname(opts.from), annotation), a loadFile() pozwala na ścieżki .map z traversalem lub absolutne, co umożliwia ujawnienie sourcesContent z dowolnych osiągalnych plików .map przez result.map, gdy przetwarzany jest niezaufany CSS bez opcji map: false.

Przed wersją 1.0.0-rc.18 w systemie New API, kontrolowane przez użytkownika wartości (np. liczba obrazów, czas trwania wideo, max_tokens, max_completion_tokens, maxOutputTokens, czas trwania audio, ilości w wyrażeniach rozliczeniowych) mogą powodować przepełnienie konwersji w common/quota_math.go i powiązanych ścieżkach rozliczeniowych. Pozwala to kontu o niskich uprawnieniach z dodatnim saldem lub aktywną subskrypcją zamienić ujemne obciążenie na kredyt na koncie i potencjalnie wyczerpać środki dostawcy.

W JetBrains Ktor przed wersją 3.4.1 możliwy był atak DoS (Denial of Service) poprzez dekompresję WebSocket.

W New API przed wersją 1.0.0-rc.11, endpointy POST /api/stripe/webhook, POST /api/creem/webhook i POST /api/waffo/webhook czytają i logują pełne treści żądań przed weryfikacją podpisu, co pozwala nieuwierzytelnionemu atakującemu na wywołanie presji na pamięć, restarty kontenerów lub wyczerpanie dysku bez sfałszowania płatności.

W New API (bramka LLM i system zarządzania zasobami AI) od wersji 0.9.1.3 do 1.0.0-rc.7, funkcja AdminResetPasskey w controller/passkey.go nie sprawdza autoryzacji canManageTargetRole dla żądania DELETE /api/user/:id/reset_passkey, co pozwala administratorowi o niższych uprawnieniach na usunięcie klucza dostępu z konta o równych lub wyższych uprawnieniach, w tym z konta root.

W New API przed wersją 1.0.0-rc.16, powtarzane żądania PUT /api/user/self aktualizujące język lub sidebar_modules mogą powodować wyścig w rozliczeniach relay, ponieważ controller/user.go wywołuje User.Update, a updateUserCache wykonuje pełny zapis RedisHSetObj do user:.Quota, nadpisując równoczesne odjęcia HINCRBY i pozwalając uwierzytelnionemu użytkownikowi na sztuczne utrzymanie wysokiego limitu.

Przed wersją 1.0.0-rc.7 w systemie New API, API listy użytkowników i wyszukiwania użytkowników (w tym GET /api/user/) zwracają User.AccessToken jako access_token, ponieważ obiekty modelu User są serializowane po zapytaniach z użyciem Omit("password"). Umożliwia to uwierzytelnionemu administratorowi uzyskanie tokena bearer roota i dostęp do API konfiguracji systemu dostępnych tylko dla roota.

W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.1, na stronach z włączoną moderacją grup kategorii, kolejka przeglądu mogła zawierać fragment (i permalink) prywatnej wiadomości dołączonej do flagi, nawet gdy moderator kategorii nie był uczestnikiem tej wiadomości. Wiadomości flagowe notify_moderators są adresowane tylko do moderatorów i, dla flag podstawowych, do grup moderacji kategorii w momencie zgłoszenia flagi, więc moderator grupy kategorii mógł odczytać treść dyskusji flagowej, do której nie był upoważniony. Dotyczy to oficjalnych wtyczek tworzących takie wiadomości oraz flag podstawowych zgłoszonych przed przyznaniem grupie moderatora uprawnień do moderacji kategorii. Naruszona jest tylko poufność ograniczonego fragmentu tych prywatnych wiadomości związanych z flagami; żadna treść nie może być modyfikowana ani usuwana.

W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0, użytkownicy, którzy mogli przeglądać aktywność grupy, ale nie mieli uprawnień do widzenia wspólnych szkiców, mogli otrzymywać wpisy wspólnych szkiców przez punkty końcowe postów grupy i wzmianek grupy. To mogło ujawnić tytuły tematów szkiców oraz fragmenty/treść postów, co skutkowało ujawnieniem nieopublikowanych materiałów.

Przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 w Discourse, nieuwierzytelniony atakujący mógł wysłać pojedyncze żądanie z spreparowanym ciasteczkiem color_scheme_id (lub dark_scheme_id), aby wstrzyknąć dowolny HTML na stronę Discourse. Ponieważ wartość ciasteczka była renderowana w tagu schematu kolorów bez escapowania, atakujący mógł wydostać się z atrybutu i wstrzyknąć tag, który omijał politykę bezpieczeństwa treści opartą na nonce, co prowadziło do wykonania dowolnego JavaScriptu w przeglądarkach odwiedzających.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 ujawniał ukrytą lub niedostępną treść pierwszego posta jako fragment w publicznie serwowanych danych strukturalnych JSON-LD (QAPage), co pozwalało nieuwierzytelnionym odwiedzającym i robotom wyszukiwarek na jej odczyt.