Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-123294 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-06 |
| Producent | JetBrains |
| Produkt | Hub, CLion, Datalore |
| CVSS Score | 9.6 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, JetBrains Fixed Security Issues
JetBrains opublikował 6 listopada 2026 r. listę poprawionych błędów bezpieczeństwa, w której cztery podatności otrzymały ocenę krytyczną:
- CVE-2026-123294 (CVSS 9.6) — JetBrains Hub przed 2026.2.52556: eskalacja uprawnień przez zmianę danych uwierzytelniania e-mail w trakcie procesu weryfikacji (CWE-915, HUB-13585). Atakujący z kontem o niskich uprawnieniach może przejąć wyższe uprawnienia w Hub — usłudze uwierzytelniania i zarządzania użytkownikami, z której korzystają m.in. YouTrack i TeamCity.
- CVE-2026-123832 (CVSS 9.6) — CLion przed 2026.2: wykonanie kodu w trybie Safe Mode przez plik JSON compilation database (CWE-829, CPP-50449). Wystarczy, że ofiara otworzy przygotowany projekt — mimo trybu Safe Mode, który ma blokować uruchamianie kodu z niezaufanych projektów.
- CVE-2026-123831 (CVSS 9.6) — CLion przed 2026.2 i 2026.1.4: wykonanie kodu w trybie Safe Mode przez ustawienia projektu Meson (CWE-829, CPP-50364). Mechanizm ataku jak wyżej — złośliwy projekt otwarty przez programistę.
- CVE-2026-123279 (CVSS 9.0) — Datalore przed 2026.4: współpracownicy z dostępem tylko do odczytu mogli wykonywać kod w obliczeniach notatnika (CWE-863, DL-17211).
Wymagane działania
- JetBrains Hub (instalacje samodzielne): zaktualizuj do wersji 2026.2.52556 lub nowszej.
- CLion: zaktualizuj do wersji 2026.2; na gałęzi 2026.1 poprawkę dla CVE-2026-123831 zawiera 2026.1.4, natomiast dla CVE-2026-123832 JetBrains wskazuje wyłącznie 2026.2. Do czasu aktualizacji nie otwieraj projektów z niezaufanych źródeł, nawet w trybie Safe Mode.
- Datalore (instalacje On-Premises): zaktualizuj do wersji 2026.4 lub nowszej. Do czasu aktualizacji przejrzyj, kto ma dostęp tylko do odczytu do notatników z danymi wrażliwymi, i ogranicz udostępnianie do niezbędnego minimum.
Po aktualizacji Hub przejrzyj listę kont z uprawnieniami administracyjnymi i ostatnie zmiany adresów e-mail użytkowników pod kątem nieautoryzowanych modyfikacji.
Kogo dotyczy?
Podatności dotyczą produktów Hub, CLion, Datalore firmy JetBrains:
- Hub — organizacje utrzymujące własne instalacje YouTrack, TeamCity lub samodzielnego Hub jako centralnego logowania dla narzędzi zespołów deweloperskich;
- CLion — zespoły programistów C/C++ (oprogramowanie wbudowane, systemy przemysłowe, gry, oprogramowanie systemowe);
- Datalore — zespoły analityki danych i data science korzystające ze współdzielonych notatników, zwłaszcza w wersji On-Premises.
Sprawdź w inwentaryzacji oprogramowania i w JetBrains Toolbox / licencjach firmowych, które z tych narzędzi są używane w organizacji.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
