JetBrains You Track: Mehrere Schwachstellen
WID-SEC-2026-3696 · first 01.10.2026 · updated 02.10.2026 · CVSS 8,9
What it is about
YouTrack ist eine webbasierte Plattform für Projektmanagement, Issue- und Bug-Tracking, Helpdesk sowie die Verwaltung und Nachverfolgung von Arbeitsabläufen und Aufgaben. Ein Angreifer kann mehrere Schwachstellen in JetBrains You Track ausnutzen, um Sicherheitsvorkehrungen zu umgehen um seine Privilegien zu erhöhen, um einen Denial of Service Angriff durchzuführen, um Informationen offenzulegen, um Dateien zu manipulieren, um einen Cross-Site Scripting Angriff durchzuführen und um beliebigen Programmcode auszuführen.
Under what conditions?
The BSI does not name any particular preconditions. Exploitable remotely according to the BSI.
What can happen in the worst case
An attacker could use the vulnerability to
- Sicherheitsvorkehrungen zu umgehen um seine Privilegien zu erhöhen
- einen Denial of Service Angriff durchzuführen
- Informationen offenzulegen
- Dateien zu manipulieren
- einen Cross-Site Scripting Angriff durchzuführen
- beliebigen Programmcode auszuführen
Am I affected?
Affected according to the BSI:
- JetBrains You Track <2026.2.19422
The installed version is usually shown under “Help → About” or in the device’s admin interface.
What helps?
Update to at least:
- JetBrains You Track 2026.2.19422
Is the vulnerability already being exploited?
None of the CVEs is in the CISA catalogue of exploited vulnerabilities. That does not mean there are no attacks, only that none are documented.
Information and sources
- Original BSI advisory (WID)
- JetBrains Fixed security issues vom 2026-09-30 www.jetbrains.com
- National Vulnerability Database CVE-2026-100257 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100258 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100259 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100260 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100261 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100262 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100263 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100267 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100268 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100269 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100270 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100271 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100272 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100273 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100274 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100275 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100276 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100277 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100278 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100279 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-100280 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-103488 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-103489 vom 2026-09-30 nvd.nist.gov
- National Vulnerability Database CVE-2026-103490 vom 2026-09-30 nvd.nist.gov
and 7 more sources in the original advisory
CVE: CVE-2026-100257, CVE-2026-100258, CVE-2026-100259, CVE-2026-100260, CVE-2026-100261, CVE-2026-100262, CVE-2026-100263, CVE-2026-100264, CVE-2026-100267, CVE-2026-100268, CVE-2026-100269, CVE-2026-100270, CVE-2026-100271, CVE-2026-100272, CVE-2026-100273, CVE-2026-100274, CVE-2026-100275, CVE-2026-100276, CVE-2026-100277, CVE-2026-100278 …
Source: BSI warning and information service (CERT-Bund); CISA. The assessment of the conditions is my reading of the BSI text; the external pages are in their original language.