CVE-2026-123286
ŚrednieCVSS 5.9Streszczenie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała na odczyt tokenu sesji magazynu plików właściciela notebooka.
Ocena ryzyka
Atakujący może uzyskać token sesji magazynu plików właściciela notebooka, co może prowadzić do nieautoryzowanego dostępu do plików.
Rekomendacja
Zaktualizuj JetBrains Datalore do wersji 2026.4 lub nowszej, aby zapewnić prawidłową autoryzację dostępu do tokenów sesji.
Inne podatności w JetBrains Datalore
Zobacz wszystkie- CVE-2026-123292Niskie
W JetBrains Datalore przed wersją 2026.4 tokeny API oraz sesje usuniętych lub zablokowanych użytkowników pozostawały ważne. Oznacza to, że odebranie dostępu takiemu użytkownikowi nie unieważniało jego aktywnej sesji ani tokenu.
- CVE-2026-123291Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa walidacja właściciela pozwalała na odczyt problemów i uruchomień notebooka innego obszaru roboczego.
- CVE-2026-123290Średnie
W JetBrains Datalore przed wersją 2026.4 ukryty kod notebooka był ujawniany nieuwierzytelnionym użytkownikom poprzez publiczny punkt końcowy zawartości interaktywnego raportu.
- CVE-2026-123289Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała przeglądającym notebooki na modyfikowanie plików.
- CVE-2026-123288Średnie
W JetBrains Datalore przed wersją 2026.4 możliwy był atak typu stored XSS w wykresach notebooka poprzez link do edytora Vega.
- CVE-2026-123287Średnie
W JetBrains Datalore przed wersją 2026.4 prywatne pliki notebooków mogły być pobierane bez uwierzytelnienia poprzez opublikowane raporty interaktywne.
- CVE-2026-123285Średnie
W JetBrains Datalore przed wersją 2026.3 możliwe było wykonanie poleceń w kontenerze zadań bazy danych poprzez iniekcję opcji JVM.
- CVE-2026-123284Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja przy przenoszeniu obszarów roboczych pozwalała współpracownikom z uprawnieniami tylko do odczytu modyfikować udostępnioną zawartość.
- CVE-2026-123283Średnie
W JetBrains Datalore przed wersją 2026.4 możliwe było przejęcie konta poprzez logowanie SSO do wcześniej zarejestrowanego konta.
- CVE-2026-123282Wysokie
W JetBrains Datalore przed wersją 2026.4 brakowało walidacji wygaśnięcia tokenów konta, co umożliwiało utworzenie nowej uwierzytelnionej sesji przy użyciu nieaktualnego tokenu.
Oryginalny opis (angielski, źródło NVD)
In JetBrains Datalore before 2026.4 improper authorisation allowed read the notebook owner's file storage session token
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS