JetBrains закрыла уязвимость CVE-2026-111092 в YouTrack, платформе для планирования задач и отслеживания ошибок. Ошибка в почтовых правилах позволяла администратору проекта выполнять команды над задачами других проектов. Производитель отнёс проблему к средней степени опасности и выставил рейтинг CVSS 6.5.
CVE-2026-111092 в почтовых правилах YouTrack
YouTrack используют команды разработки, поддержки и управления продуктами. В одной установке нередко живут десятки проектов, а доступ к ним разграничивают по ролям. Почтовые правила внутри трекера автоматизируют рутину и срабатывают на события. Слабое место нашлось именно в проверке прав при их выполнении.
Ошибку описали как CWE-862, отсутствие проверки прав доступа. Это класс ошибок, при котором функция выполняется, хотя пользователь не имеет на неё права. Такие уязвимости встречаются часто: новую возможность подключают к готовому интерфейсу и забывают про контроль доступа.
Конкретно здесь настройки почтовых правил не сверяли, к какому проекту относится задача. Поэтому администратор проекта мог провести операцию над объектом вне своей зоны ответственности. Права выдавались по факту роли, а не по принадлежности данных.
Сведения передал исследователь Antoni Tremblay, отчёту присвоен номер JT-98094. Компания подтвердила проблему и подготовила правки.
Разбор вектора CVSS поясняет условия атаки. Вектор сетевой, значит действовать можно удалённо. Сложность низкая, участие пользователя не требуется. Единственное ограничение - высокая привилегия, то есть права администратора проекта. Показатели конфиденциальности и целостности высокие, влияние на доступность отсутствует.
Рейтинг выставила сама JetBrains. Национальная база данных уязвимостей США (NVD) собственную оценку пока не добавила. Запись числится в очереди на обогащение, то есть её подробное описание ещё готовится. Пока оценка NVD не готова, ориентироваться приходится на данные производителя.
Риск выше для организаций, где права администратора проекта раздают многим сотрудникам. В крупной компании это руководители направлений, аналитики и подрядчики. Одной такой учётной записи достаточно, чтобы читать и менять задачи чужих проектов. К тому же почтовые правила настраивают редко, поэтому лишние разрешения подолгу остаются незамеченными.
Трекер задач хранит больше, чем список дел. Внутри оседают переписка, вложения, планы релизов, иногда фрагменты конфигураций и данные о клиентах. Доступ к чужому проекту открывает эти материалы целиком.
Проектные администраторы в YouTrack управляют составом участников, полями и рабочими процессами. Расширенные полномочия упрощают работу, но увеличивают цену ошибки в проверке прав. Гибкость настроек здесь играет против осторожности.
Исправленные сборки - 2026.2.19575, 2026.3.16075, 2026.3.16397 и 2026.3.16402. Всё, что выпущено раньше, остаётся уязвимым.
Обновление до одной из этих сборок закрывает проблему. Пока установка отложена, имеет смысл пересмотреть список почтовых правил и сузить круг сотрудников с правами администратора проекта. Доступ к YouTrack из внешней сети тоже лучше ограничить.
Ошибки в проверке прав для систем совместной работы встречаются регулярно. Чем шире полномочия у сотрудников, тем заметнее последствия одной такой ошибки.
Ссылки
- https://nvd.nist.gov/vuln/detail/cve-2026-111092
- https://www.jetbrains.com/privacy-security/issues-fixed/?product=YouTrack
