JetBrains You Track: Mehrere Schwachstellen
WID-SEC-2026-3226 · primera publicación 08.09.2026 · actualizado 08.09.2026 · CVSS 9,8
De qué se trata
YouTrack ist eine webbasierte Plattform für Projektmanagement, Issue- und Bug-Tracking, Helpdesk sowie die Verwaltung und Nachverfolgung von Arbeitsabläufen und Aufgaben. Ein Angreifer kann mehrere Schwachstellen in JetBrains You Track ausnutzen, um Benutzerkonten zu übernehmen, Berechtigungen zu erweitern, auf geschützte Informationen und Ressourcen zuzugreifen, Daten offenzulegen oder unbefugt zu verändern, Tokens bzw. Zugangsdaten zu entwenden, Webhooks zu fälschen und gespeicherten Cross-Site-Scripting-Code (XSS) auszuführen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Benutzerkonten zu übernehmen
- Berechtigungen zu erweitern
- auf geschützte Informationen
- Ressourcen zuzugreifen
- Daten offenzulegen oder unbefugt zu verändern
- Tokens bzw. Zugangsdaten zu entwenden
- Webhooks zu fälschen
- gespeicherten Cross-Site-Scripting-Code (XSS) auszuführen
¿Me afecta?
Afectados según el BSI:
- JetBrains You Track <2026.2.18634
- JetBrains You Track <2025.3.160480
- JetBrains You Track <2026.1.14047
- JetBrains You Track <2025.3.161254
- JetBrains You Track <2026.1.14042
- JetBrains You Track <2026.2.18788
- JetBrains You Track <2026.1.14055
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- JetBrains You Track 2026.2.18634
- JetBrains You Track 2025.3.160480
- JetBrains You Track 2026.1.14047
- JetBrains You Track 2025.3.161254
- JetBrains You Track 2026.1.14042
- JetBrains You Track 2026.2.18788
- JetBrains You Track 2026.1.14055
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- JetBrains Fixed security issues vom 2026-09-07 www.jetbrains.com
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
- NIST Vunerability Database vom 2026-09-07 nvd.nist.gov
CVE: CVE-2026-86478, CVE-2026-86479, CVE-2026-86481, CVE-2026-86482, CVE-2026-86483, CVE-2026-86484, CVE-2026-86485, CVE-2026-86486, CVE-2026-86487, CVE-2026-86488, CVE-2026-86489, CVE-2026-86490, CVE-2026-86491, CVE-2026-86492, CVE-2026-86493, CVE-2026-86494, CVE-2026-86495, CVE-2026-86496, CVE-2026-86497, CVE-2026-86498 …
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.