Katalog podatności CVE

W JetBrains IntelliJ IDEA przed wersją 2026.2.1 menedżer zasobów Hadoop (ResourceManager) mógł odczytywać lokalne pliki poprzez XXE.

W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwy był atak SSRF poprzez proxy podglądu OpenAPI w niezaufanych projektach.

W JetBrains IntelliJ IDEA przed wersją 2026.2.1 możliwy był atak SSRF (Server-Side Request Forgery) przez punkt końcowy nasłuchiwania debuggera DevKit.

W JetBrains YouTrack przed wersjami 2026.1.13903 i 2026.2.17950 uwierzytelniony użytkownik mógł odczytać zastrzeżone artykuły z innych projektów przez punkt końcowy tworzenia wersji roboczych.

W JetBrains YouTrack przed wersją 2026.2.18177 możliwy był atak DoS (Denial of Service) poprzez bombę dekompresyjną w punkcie końcowym importu.

W JetBrains YouTrack przed wersją 2026.2.18112 uwierzytelniony użytkownik mógł enumerować konta przez punkt końcowy wyszukiwania użytkowników.

Podatność w jae-jae fetcher-mcp do wersji 0.3.9 dotyczy funkcji fetch_url/fetch_urls w komponencie URL Validation, co umożliwia atak SSRF (Server-Side Request Forgery). Atak może być przeprowadzony zdalnie.

W JetBrains Ktor przed wersją 3.4.1 możliwy był atak DoS (Denial of Service) poprzez dekompresję WebSocket.

W New API (bramka LLM i system zarządzania zasobami AI) od wersji 0.9.1.3 do 1.0.0-rc.7, funkcja AdminResetPasskey w controller/passkey.go nie sprawdza autoryzacji canManageTargetRole dla żądania DELETE /api/user/:id/reset_passkey, co pozwala administratorowi o niższych uprawnieniach na usunięcie klucza dostępu z konta o równych lub wyższych uprawnieniach, w tym z konta root.

W New API przed wersją 1.0.0-rc.16, powtarzane żądania PUT /api/user/self aktualizujące język lub sidebar_modules mogą powodować wyścig w rozliczeniach relay, ponieważ controller/user.go wywołuje User.Update, a updateUserCache wykonuje pełny zapis RedisHSetObj do user:.Quota, nadpisując równoczesne odjęcia HINCRBY i pozwalając uwierzytelnionemu użytkownikowi na sztuczne utrzymanie wysokiego limitu.

W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.1, na stronach z włączoną moderacją grup kategorii, kolejka przeglądu mogła zawierać fragment (i permalink) prywatnej wiadomości dołączonej do flagi, nawet gdy moderator kategorii nie był uczestnikiem tej wiadomości. Wiadomości flagowe notify_moderators są adresowane tylko do moderatorów i, dla flag podstawowych, do grup moderacji kategorii w momencie zgłoszenia flagi, więc moderator grupy kategorii mógł odczytać treść dyskusji flagowej, do której nie był upoważniony. Dotyczy to oficjalnych wtyczek tworzących takie wiadomości oraz flag podstawowych zgłoszonych przed przyznaniem grupie moderatora uprawnień do moderacji kategorii. Naruszona jest tylko poufność ograniczonego fragmentu tych prywatnych wiadomości związanych z flagami; żadna treść nie może być modyfikowana ani usuwana.

W Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0, użytkownicy, którzy mogli przeglądać aktywność grupy, ale nie mieli uprawnień do widzenia wspólnych szkiców, mogli otrzymywać wpisy wspólnych szkiców przez punkty końcowe postów grupy i wzmianek grupy. To mogło ujawnić tytuły tematów szkiców oraz fragmenty/treść postów, co skutkowało ujawnieniem nieopublikowanych materiałów.

Discourse przed wersjami 2026.1.6, 2026.5.2, 2026.6.1 i 2026.7.0 ujawniał ukrytą lub niedostępną treść pierwszego posta jako fragment w publicznie serwowanych danych strukturalnych JSON-LD (QAPage), co pozwalało nieuwierzytelnionym odwiedzającym i robotom wyszukiwarek na jej odczyt.

Kiota przed wersjami 1.29.1 i 1.34.0 pozwala atakującemu, który kontroluje lub modyfikuje opis OpenAPI, na dostarczenie referencji do pliku spoza pakietu manifestu (np. ../../../../etc/passwd, ścieżka bezwzględna lub URI file:// / http(s)://). Po wdrożeniu manifestu przez hosta AI może to prowadzić do ujawnienia plików spoza zamierzonego pakietu.

Wtyczka GitLab dla Mattermost (wersje <=11.8, 10.20.11, 11.5.7.0) nie weryfikuje uprawnień do kanału podczas przetwarzania żądań API z parametrem post_id oraz nie waliduje parametru web_url względem skonfigurowanej instancji GitLab. Umożliwia to uwierzytelnionemu atakującemu wstrzykiwanie wiadomości botów z dowolnymi adresami URL do kanałów, do których nie ma dostępu, przez endpointy createIssue i attachCommentToIssue.

Mattermost w wersjach 11.8.x <= 11.8.2, 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie ogranicza przypisywania ról członków kanału do ról z zakresu kanału, co pozwala administratorowi kanału na uzyskanie dodatkowych uprawnień kanału przez API ról członków kanału.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie weryfikuje, czy użytkownik ma dostęp do odczytu kanału przed powiązaniem z nim tablicy. Umożliwia to uwierzytelnionemu atakującemu odkrycie członkostwa prywatnych kanałów w tym samym zespole poprzez tworzenie, modyfikowanie, importowanie lub masowe tworzenie tablic z dowolnym channelId.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie egzekwuje walidacji stanu uruchomienia przy operacjach zapisu dla zakończonych przebiegów playbooków. Umożliwia to uczestnikowi przebiegu modyfikację statusu, list kontrolnych, treści retrospektywy, właściciela i uczestników zakończonych przebiegów przez żądania REST i GraphQL API.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie ogranicza endpointów deautoryzacji OAuth i zarządzania osobistymi tokenami dostępu do bezpośrednich sesji użytkownika. Umożliwia to aplikacji OAuth z delegowanym tokenem użytkownika odwołanie autoryzacji lub tokenów użytkownika dla innych integracji przez endpointy zarządzania kontem.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie zapobiega przyznaniu uprawnień administratora tablicy użytkownikom-gościom podczas importu archiwum tablicy. Umożliwia to członkowi tablicy eskalację uprawnień użytkownika-gościa do administratora tablicy poprzez import spreparowanego pliku .boardarchive.