CVE-2026-100276
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W JetBrains YouTrack przed wersją 2026.2.19197 użytkownicy-goście mogli usunąć ograniczenie widoczności akcji workflow i uruchomić tę akcję. Pozwala to na obejście mechanizmów kontroli dostępu.
Ocena ryzyka
Goście mogą uruchamiać akcje workflow, do których nie powinni mieć dostępu, co może prowadzić do nieautoryzowanych zmian w systemie. Stanowi to naruszenie modelu uprawnień.
Rekomendacja
Zaktualizuj JetBrains YouTrack do wersji 2026.2.19197 lub nowszej. Przejrzyj konfigurację akcji workflow pod kątem nieprawidłowych uprawnień.
Inne podatności w JetBrains YouTrack
Zobacz wszystkie- CVE-2026-103497Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.
- CVE-2026-103496Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.
- CVE-2026-103495Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.
- CVE-2026-103493Wysokie
W JetBrains YouTrack w wersjach przed 2026.2.19422 występuje trwałe wstrzyknięcie skryptu (stored XSS) poprzez treści Mermaid i LaTeX. Podatność pozwala na wykonanie dowolnego skryptu w przeglądarce użytkownika.
- CVE-2026-103492Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.
- CVE-2026-103491Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.
- CVE-2026-86478Krytyczne
W JetBrains YouTrack przed wersjami 2025.3.161254 i 2026.1.14042 nieprawidłowe uwierzytelnianie w YouTrack Helpdesk umożliwiało niezalogowanemu atakującemu przejęcie konta poprzez samodzielnie zadeklarowany adres e-mail.
- CVE-2026-62422Krytyczne
W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.
- CVE-2026-111092Średnie
W JetBrains YouTrack przed wersjami 2026.2.19575, 2026.3.16075, 2026.3.16397 i 2026.3.16402 reguły pocztowe pozwalały administratorowi projektu na wykonywanie poleceń dotyczących zgłoszeń w innych projektach. Narusza to izolację uprawnień między projektami.
- CVE-2026-103494Średnie
W JetBrains YouTrack przed wersją 2026.2.19422 eskalacja uprawnień była możliwa poprzez zmiany członkostwa w grupach użytkowników.
Oryginalny opis (angielski, źródło NVD)
In JetBrains YouTrack before 2026.2.19197 guest users could remove a workflow action's visibility restriction and run the action
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS