CVE-2023-35054
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 57 - wyżej niż 57% wszystkich znanych CVE
Streszczenie
W wersjach JetBrains YouTrack przed 2023.1.10518 występowała podatność na przechowywane XSS w silniku renderującym Markdown.
Ocena ryzyka
Atakujący mógł wykorzystać tę podatność do wstrzykiwania złośliwego kodu, co mogło prowadzić do kradzieży danych użytkowników lub przejęcia sesji.
Rekomendacja
Zaleca się aktualizację JetBrains YouTrack do wersji 2023.1.10518 lub nowszej, aby usunąć tę podatność.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-103497Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.
- CVE-2026-103496Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.
- CVE-2026-103495Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.
- CVE-2026-103493Wysokie
W JetBrains YouTrack w wersjach przed 2026.2.19422 występuje trwałe wstrzyknięcie skryptu (stored XSS) poprzez treści Mermaid i LaTeX. Podatność pozwala na wykonanie dowolnego skryptu w przeglądarce użytkownika.
- CVE-2026-103492Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.
- CVE-2026-103491Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.
- CVE-2026-86478Krytyczne
W JetBrains YouTrack przed wersjami 2025.3.161254 i 2026.1.14042 nieprawidłowe uwierzytelnianie w YouTrack Helpdesk umożliwiało niezalogowanemu atakującemu przejęcie konta poprzez samodzielnie zadeklarowany adres e-mail.
- CVE-2026-62422Krytyczne
W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.
- CVE-2026-111092Średnie
W JetBrains YouTrack przed wersjami 2026.2.19575, 2026.3.16075, 2026.3.16397 i 2026.3.16402 reguły pocztowe pozwalały administratorowi projektu na wykonywanie poleceń dotyczących zgłoszeń w innych projektach. Narusza to izolację uprawnień między projektami.
- CVE-2026-103494Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 eskalacja uprawnień była możliwa poprzez zmiany członkostwa w grupach użytkowników.
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2023.1.10518 stored XSS in a Markdown-rendering engine was possible
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS