JetBrains YouTrack: Umgehung der Berechtigungsprüfung im Scripts-Debugger
Zusammenfassung
Eine Umgehung der Berechtigungsprüfung im Scripts-Debugger von JetBrains YouTrack vor 2026.2.19197 erlaubt die Ausführung beliebigen Codes. Der CVE-Eintrag ordnet die Schwachstelle CWE-863 (Incorrect Authorization) zu. Die Quellen widersprechen sich bei der CVSS-Bewertung und den nötigen Berechtigungen, daher sind beide in NVD zu prüfen. Die Auswirkungen beschränken sich auf Instanzen, in denen der Scripts-Debugger aktiviert und erreichbar ist.
Betroffen
- JetBrains YouTrack Versionen vor 2026.2.19197 (selbst gehostet und Cloud, gemäss Versionsbereich im CVE-Eintrag 0 bis < 2026.2.19197)
Behoben in
- Upgrade auf YouTrack 2026.2.19197 oder neuer. Neueste von JetBrains im Oktober 2026 genannte Server-Builds: 2026.2.19728, 2026.1.14165 und 2025.3.172487 (nicht gegen die Meldung zu diesem CVE geprüft).
Umgehung
- Unbekannt. Für diese CVE wurde kein Workaround des Herstellers gefunden.
- Übergangsmassnahmen (nicht von einer Herstellerquelle): Zugriff auf den Scripts-Debugger auf eine kleine Admin-Gruppe beschränken, prüfen, wer Administrator- oder Script-Bearbeitungsrechte besitzt, und YouTrack bis zum Patch nicht aus dem Internet erreichbar machen.
Ausnutzung
- Nicht im Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA gelistet.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden. Dies schliesst einen solchen nicht aus.
Unsere Empfehlung
- Jede selbst gehostete YouTrack-Instanz auf 2026.2.19197 oder neuer aktualisieren, zusammen mit weiteren YouTrack-Korrekturen aus demselben Release-Zyklus.
- Bis zum Patch den Zugriff auf den Scripts-Debugger einschränken und Administrator- sowie Script-Rechte überprüfen.
- YouTrack nicht direkt aus nicht vertrauenswürdigen Netzen erreichbar machen.
- Vor der internen Priorisierung den offiziellen CVSS-Score und Vektor in NVD prüfen.
- Priorität: hoch für aus dem Internet erreichbare oder grosse Instanzen, mittel für rein interne Instanzen mit wenigen Konten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- JetBrains fixed security issues www.jetbrains.com
- OpenCVE: CVE-2026-100273 app.opencve.io
- OffSeq Radar: CVE-2026-100273 radar.offseq.com
- HOL Guard: CISA ADP Vulnrichment for CVE-2026-100273 hol.org
- Strix: CVE-2026-100273 www.strix.ai
- JetBrains security blog: certificate authority incident and guidance (October 2026) blog.jetbrains.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:50.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.