Podatności JetBrains YouTrack

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak SSRF (Server-Side Request Forgery) poprzez integrację z GitHub VCS.

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR (Insecure Direct Object Reference) w wątkach skrzynki odbiorczej, umożliwiający odczyt powiadomień innych użytkowników.

W JetBrains YouTrack przed wersją 2026.2.19422 brak autoryzacji umożliwiał przeładowanie katalogów tłumaczeń.

W JetBrains YouTrack w wersjach przed 2026.2.19422 występuje trwałe wstrzyknięcie skryptu (stored XSS) poprzez treści Mermaid i LaTeX. Podatność pozwala na wykonanie dowolnego skryptu w przeglądarce użytkownika.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwy był atak DoS (Denial of Service) poprzez spreparowane załączniki PSD.

W JetBrains YouTrack przed wersją 2026.2.19422 występował problem iDOR w API aktywności zgłoszeń, umożliwiający odczyt ograniczonych zgłoszeń.

W JetBrains YouTrack przed wersjami 2025.3.161254 i 2026.1.14042 nieprawidłowe uwierzytelnianie w YouTrack Helpdesk umożliwiało niezalogowanemu atakującemu przejęcie konta poprzez samodzielnie zadeklarowany adres e-mail.

W JetBrains YouTrack przed wersjami 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 i 2024.2.148429 możliwe było ominięcie uwierzytelniania poprzez bezpośredni dostęp do bazy danych, co prowadziło do uzyskania dostępu administracyjnego.

W JetBrains YouTrack przed wersjami 2026.2.19575, 2026.3.16075, 2026.3.16397 i 2026.3.16402 reguły pocztowe pozwalały administratorowi projektu na wykonywanie poleceń dotyczących zgłoszeń w innych projektach. Narusza to izolację uprawnień między projektami.

W JetBrains YouTrack przed wersją 2026.2.19422 eskalacja uprawnień była możliwa poprzez zmiany członkostwa w grupach użytkowników.

W JetBrains YouTrack w wersjach przed 2026.2.19422 możliwe było podniesienie uprawnień poprzez linki do grup użytkowników. Podatność pozwala użytkownikowi na uzyskanie wyższych uprawnień niż te, które powinien posiadać.

W JetBrains YouTrack przed wersją 2026.2.19422 możliwa była injekcja HTML w powiadomieniach o niepowodzeniu polecenia VCS.

W JetBrains YouTrack w wersjach przed 2026.2.19422 brak autoryzacji pozwalał uwierzytelnionym użytkownikom na dodanie siebie do zespołów projektowych i dostęp do zastrzeżonych zgłoszeń. Podatność umożliwia obejście kontroli dostępu.

W JetBrains YouTrack przed wersją 2026.2.19197 możliwe było utworzenie projektu z nieczytelnego niestandardowego szablonu.

W JetBrains YouTrack przed wersją 2026.2.19197 zmiana adresu URL integracji ujawniała przechowywane w niej poświadczenia. Osoba mogąca edytować integrację mogła uzyskać dostęp do danych uwierzytelniających.

W JetBrains YouTrack przed wersją 2026.2.19197 użytkownicy z ograniczonymi uprawnieniami mogli edytować i ukrywać komentarze innych użytkowników. Narusza to integralność danych i kontrolę dostępu.

W JetBrains YouTrack przed wersją 2026.2.19197 możliwe było przejęcie konta przez powtórne użycie sygnatury powiadomienia.

W JetBrains YouTrack przed wersją 2026.2.19197 użytkownicy-goście mogli usunąć ograniczenie widoczności akcji workflow i uruchomić tę akcję. Pozwala to na obejście mechanizmów kontroli dostępu.

W JetBrains YouTrack przed wersją 2026.2.19197 możliwy był trwały atak XSS w powiadomieniu o błędzie workflow. Złośliwy kod mógł być przechowywany i wykonywany w przeglądarce ofiary.

W JetBrains YouTrack przed wersją 2026.2.19197 administrator projektu mógł wywołać atak DoS poprzez szablon powiadomienia. Może to prowadzić do niedostępności usługi.

W JetBrains YouTrack przed wersją 2026.2.19197 występuje obejście autoryzacji w debugerze skryptów, które umożliwia wykonanie dowolnego kodu.

W JetBrains YouTrack przed wersją 2026.2.19197 brak autoryzacji w podglądzie szablonu powiadomień pozwalał administratorom projektów czytać zastrzeżone zgłoszenia. Narusza to poufność danych.

W JetBrains YouTrack przed wersją 2026.2.19197 brak autoryzacji na kilku punktach końcowych umożliwiał uwierzytelnionym użytkownikom dostęp do informacji z innych projektów.

W JetBrains YouTrack przed wersją 2026.2.19197 użytkownicy z uprawnieniami Admin Read niskiego poziomu mogli ujawnić poświadczenia integracji poprzez konfiguracje importu.

W JetBrains YouTrack przed wersją 2026.2.19197 można było obejść listę autoryzowanych reporterów w projekcie helpdesk. Pozwala to na nieautoryzowane zgłaszanie spraw.

W JetBrains YouTrack przed wersją 2026.2.19197 administratorzy projektów mogli czytać komentarze z innych projektów za pomocą szablonów powiadomień.

W JetBrains YouTrack przed wersją 2026.2.19197 możliwy był atak reDoS poprzez filtry reguł poczty oparte na wyrażeniach regularnych. Może to prowadzić do nadmiernego zużycia zasobów.

W JetBrains YouTrack przed wersją 2026.2.18991 przechowywane poświadczenia serwera SMTP mogły zostać ujawnione poprzez zmianę hosta serwera.

W JetBrains YouTrack przed wersją 2026.2.18991 możliwa była trwała injekcja HTML poprzez nagłówek User-Agent. Złośliwa treść mogła być przechowywana i wyświetlana innym użytkownikom.

W JetBrains YouTrack przed wersją 2026.2.18991 brak autoryzacji pozwalał użytkownikom z dostępem tylko do odczytu w projekcie na nadpisywanie szablonów powiadomień projektu.

W JetBrains YouTrack przed wersją 2026.2.18991 możliwa była zmiana ustawień widoczności artykułów bez posiadania uprawnień do aktualizacji.

W JetBrains YouTrack przed wersją 2026.2.18991 integracja skrzynki pocztowej umożliwiała uwierzytelnienie po zresetowaniu hasła.

W JetBrains YouTrack przed wersją 2026.2.18991 nieprawidłowa kontrola dostępu na wykresie Gantta pozwalała na edycję użytkownikom z dostępem tylko do odczytu.

W JetBrains YouTrack przed wersją 2026.2.18991 brak autoryzacji pozwalał użytkownikom z dostępem tylko do odczytu na odczyt ustawień projektu.

W JetBrains YouTrack przed wersją 2026.2.18991 możliwy był atak SSRF poprzez wstrzyknięcie przechowywanego XHTML podczas eksportu do PDF.

W JetBrains YouTrack przed wersją 2026.1.14047 brak kontroli eskalacji uprawnień umożliwiał użytkownikowi z uprawnieniami do aktualizacji projektu nadanie sobie roli administratora projektu.

W JetBrains YouTrack przed wersją 2026.1.14047 predefiniowane pola wyszukiwania ujawniały wszystkie nazwy grup każdemu użytkownikowi, niezależnie od uprawnień widoczności.

W JetBrains YouTrack przed wersją 2026.2.18769 zmiana hosta skrzynki pocztowej bez ponownego uwierzytelnienia umożliwiała administratorowi projektu eksfiltrację zapisanych poświadczeń skrzynki pocztowej.

W JetBrains YouTrack przed wersją 2026.2.18769 brak kontroli dostępu do autoryzowanych reporterów Helpdesk ujawniał adresy e-mail reporterów.

W JetBrains YouTrack przed wersją 2026.2.18687 brak kontroli uprawnień umożliwiał tworzenie artykułów bazy wiedzy w projektach, do których użytkownik nie miał dostępu.

W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało użytkownikom tylko do odczytu tworzenie i modyfikowanie kart na tablicach (whiteboard).

W JetBrains YouTrack przed wersją 2026.2.18634 możliwy był przechowywany XSS (Stored Cross-Site Scripting) poprzez przesyłanie ikon projektów i organizacji.

W JetBrains YouTrack przed wersją 2026.2.18634 nieprawidłowe sprawdzanie uprawnień umożliwiało nadpisanie wbudowanych aplikacji przez punkt końcowy importu aplikacji.

W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w API profilu użytkownika ujawniała prywatne zgłoszenia i oznaczone foldery między organizacjami.

W JetBrains YouTrack przed wersją 2026.2.18634 podatność IDOR w punktach końcowych watchRules i issueListConfig ujawniała prywatne zapisane wyszukiwania.

W JetBrains YouTrack przed wersją 2026.2.18634 spreparowana wiadomość WebSocket umożliwiała użytkownikom tablicy z uprawnieniami tylko do odczytu modyfikację zawartości płótna (canvas).

W JetBrains YouTrack przed wersją 2026.2.18634 ogólny handler webhooka VCS działał w trybie otwartym (fail open), gdy jego sekret był pusty.

W JetBrains YouTrack przed wersją 2026.2.18634 podszywanie się pod adres IP (IP spoofing) poprzez nagłówki HTTP umożliwiało wysyłanie sfałszowanych webhooków Bitbucket.

W JetBrains YouTrack przed wersją 2026.2.18634 wstrzyknięcie szablonu AngularJS w nazwach osób przypisanych prowadziło do trwałego XSS.

W JetBrains YouTrack przed wersją 2026.2.18634 możliwy był trwały XSS poprzez niestandardowe pole na kartach tablicy Agile.