CVE-2026-123291
ŚrednieCVSS 4.3Streszczenie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa walidacja właściciela pozwalała na odczyt problemów i uruchomień notebooka innego obszaru roboczego.
Ocena ryzyka
Użytkownik może uzyskać dostęp do danych notebooków i uruchomień należących do innego obszaru roboczego, co stanowi naruszenie izolacji danych.
Rekomendacja
Zaktualizuj JetBrains Datalore do wersji 2026.4 lub nowszej, aby zapewnić prawidłową walidację właściciela.
Inne podatności w JetBrains Datalore
Zobacz wszystkie- CVE-2026-123292Niskie
W JetBrains Datalore przed wersją 2026.4 tokeny API oraz sesje usuniętych lub zablokowanych użytkowników pozostawały ważne. Oznacza to, że odebranie dostępu takiemu użytkownikowi nie unieważniało jego aktywnej sesji ani tokenu.
- CVE-2026-123290Średnie
W JetBrains Datalore przed wersją 2026.4 ukryty kod notebooka był ujawniany nieuwierzytelnionym użytkownikom poprzez publiczny punkt końcowy zawartości interaktywnego raportu.
- CVE-2026-123289Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała przeglądającym notebooki na modyfikowanie plików.
- CVE-2026-123288Średnie
W JetBrains Datalore przed wersją 2026.4 możliwy był atak typu stored XSS w wykresach notebooka poprzez link do edytora Vega.
- CVE-2026-123287Średnie
W JetBrains Datalore przed wersją 2026.4 prywatne pliki notebooków mogły być pobierane bez uwierzytelnienia poprzez opublikowane raporty interaktywne.
- CVE-2026-123286Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja pozwalała na odczyt tokenu sesji magazynu plików właściciela notebooka.
- CVE-2026-123285Średnie
W JetBrains Datalore przed wersją 2026.3 możliwe było wykonanie poleceń w kontenerze zadań bazy danych poprzez iniekcję opcji JVM.
- CVE-2026-123284Średnie
W JetBrains Datalore przed wersją 2026.4 nieprawidłowa autoryzacja przy przenoszeniu obszarów roboczych pozwalała współpracownikom z uprawnieniami tylko do odczytu modyfikować udostępnioną zawartość.
- CVE-2026-123283Średnie
W JetBrains Datalore przed wersją 2026.4 możliwe było przejęcie konta poprzez logowanie SSO do wcześniej zarejestrowanego konta.
- CVE-2026-123282Wysokie
W JetBrains Datalore przed wersją 2026.4 brakowało walidacji wygaśnięcia tokenów konta, co umożliwiało utworzenie nowej uwierzytelnionej sesji przy użyciu nieaktualnego tokenu.
Oryginalny opis (angielski, źródło NVD)
In JetBrains Datalore before 2026.4 improper owner validation allowed reading another workspace's issues and runs notebook
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS