JetBrains You Track: Mehrere Schwachstellen
WID-SEC-2026-3696 · erstmals 01.10.2026 · aktualisiert 02.10.2026 · CVSS 8,9
Worum es geht
YouTrack ist eine webbasierte Plattform für Projektmanagement, Issue- und Bug-Tracking, Helpdesk sowie die Verwaltung und Nachverfolgung von Arbeitsabläufen und Aufgaben. Ein Angreifer kann mehrere Schwachstellen in JetBrains You Track ausnutzen, um Sicherheitsvorkehrungen zu umgehen um seine Privilegien zu erhöhen, um einen Denial of Service Angriff durchzuführen, um Informationen offenzulegen, um Dateien zu manipulieren, um einen Cross-Site Scripting Angriff durchzuführen und um beliebigen Programmcode auszuführen.
Unter welchen Bedingungen?
Das BSI nennt keine besonderen Voraussetzungen. Laut BSI aus der Ferne ausnutzbar.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Sicherheitsvorkehrungen zu umgehen um seine Privilegien zu erhöhen
- einen Denial of Service Angriff durchzuführen
- Informationen offenzulegen
- Dateien zu manipulieren
- einen Cross-Site Scripting Angriff durchzuführen
- beliebigen Programmcode auszuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- JetBrains You Track <2026.2.19422
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- JetBrains You Track 2026.2.19422
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- JetBrains Fixed security issues vom 2026-09-30 www.jetbrains.com
- National Vulnerability Database CVE-2026-100257 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100258 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100259 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100260 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100261 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100262 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100263 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100267 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100268 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100269 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100270 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100271 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100272 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100273 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100274 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100275 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100276 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100277 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100278 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100279 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100280 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-103488 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-103489 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-103490 vom 2026-09-30 nvd.nist.gov
und 7 weitere Quellen in der Originalmeldung
CVE: CVE-2026-100257, CVE-2026-100258, CVE-2026-100259, CVE-2026-100260, CVE-2026-100261, CVE-2026-100262, CVE-2026-100263, CVE-2026-100264, CVE-2026-100267, CVE-2026-100268, CVE-2026-100269, CVE-2026-100270, CVE-2026-100271, CVE-2026-100272, CVE-2026-100273, CVE-2026-100274, CVE-2026-100275, CVE-2026-100276, CVE-2026-100277, CVE-2026-100278 …
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.