CVE-2026-123290
ŚrednieCVSS 5.3Streszczenie
W JetBrains Datalore przed wersją 2026.4 ukryty kod notebooka był ujawniany nieuwierzytelnionym użytkownikom poprzez publiczny punkt końcowy zawartości interaktywnego raportu.
Ocena ryzyka
Nieuwierzytelnione osoby mogą uzyskać dostęp do ukrytego kodu notebooka, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Zaktualizuj JetBrains Datalore do wersji 2026.4 lub nowszej, aby uniemożliwić ujawnianie ukrytego kodu nieuwierzytelnionym użytkownikom.
Inne podatności w JetBrains Datalore
Zobacz wszystkie- CVE-2026-123292Niskie
W JetBrains Datalore przed wersją 2026.4 tokeny API oraz sesje usuniętych lub zablokowanych użytkowników pozostawały ważne. Oznacza to, że odebranie dostępu takiemu użytkownikowi nie unieważniało jego aktywnej sesji ani tokenu.
- CVE-2026-123291Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa walidacja właściciela pozwalała na odczyt problemów i uruchomień notebooka innego obszaru roboczego.
- CVE-2026-123289Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała przeglądającym notebooki na modyfikowanie plików.
- CVE-2026-123288Średnie
W JetBrains Datalore przed wersją 2026.4 możliwy był atak typu stored XSS w wykresach notebooka poprzez link do edytora Vega.
- CVE-2026-123287Średnie
W JetBrains Datalore przed wersją 2026.4 prywatne pliki notebooków mogły być pobierane bez uwierzytelnienia poprzez opublikowane raporty interaktywne.
- CVE-2026-123286Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała na odczyt tokenu sesji magazynu plików właściciela notebooka.
- CVE-2026-123285Średnie
W JetBrains Datalore przed wersją 2026.3 możliwe było wykonanie poleceń w kontenerze zadań bazy danych poprzez iniekcję opcji JVM.
- CVE-2026-123284Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja przy przenoszeniu obszarów roboczych pozwalała współpracownikom z uprawnieniami tylko do odczytu modyfikować udostępnioną zawartość.
- CVE-2026-123283Średnie
W JetBrains Datalore przed wersją 2026.4 możliwe było przejęcie konta poprzez logowanie SSO do wcześniej zarejestrowanego konta.
- CVE-2026-123282Wysokie
W JetBrains Datalore przed wersją 2026.4 brakowało walidacji wygaśnięcia tokenów konta, co umożliwiało utworzenie nowej uwierzytelnionej sesji przy użyciu nieaktualnego tokenu.
Oryginalny opis (angielski, źródło NVD)
In JetBrains Datalore before 2026.4 hidden notebook code was exposed to unauthenticated users via the public interactive report content endpoint
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS