JetBrains YouTrack: Gespeichertes Cross-Site Scripting über Mermaid- und LaTeX-Inhalte

Zusammenfassung

JetBrains YouTrack vor 2026.2.19422 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS, CWE-79) bei der Verarbeitung von Mermaid- und LaTeX-Inhalten. Ein Angreifer kann Skriptcode in solchen Inhalten speichern, der im Browser von Benutzern ausgeführt wird, die diese Inhalte betrachten, einschliesslich Administratoren. Der NVD-Vektor (CVSS 8.1) setzt keine Berechtigungen, aber eine Benutzerinteraktion voraus, etwa das Öffnen eines manipulierten Tickets oder Diagramms, und hat hohe Auswirkungen auf Vertraulichkeit und Integrität. Eine öffentliche Ausnutzung ist nicht bekannt, und CISA SSVC führt die Ausnutzung als none und nicht automatisierbar auf.

Betroffen

• JetBrains YouTrack vor 2026.2.19422 (CVE-Eintrag: Versionen 0 bis unter 2026.2.19422)
• Betroffene Versionen anderer Release-Zweige: Unbekannt.

Behoben in

• Behoben in JetBrains YouTrack 2026.2.19422 und neuer (gemäss den geprüften Quellen).
• Behobene Builds für ältere Release-Zweige: Unbekannt. Bitte die Seite JetBrains Fixed Security Issues prüfen.

Umgehung

• Nicht verifiziert: Mermaid- und LaTeX-Inhaltsdarstellung in den YouTrack-Einstellungen deaktivieren. Dies konnte im JetBrains-Advisory nicht bestätigt werden, und es wurde kein Einstellungspfad gefunden.

Ausnutzung

• Kein öffentlicher Proof of Concept und keine bekannte Ausnutzung gefunden (ACN-Warnung).
• CISA SSVC: Ausnutzung none, Automatisierbar no.
• Im CISA-KEV-Katalog durch diese Prüfung nicht bestätigt.

Unsere Empfehlung

• Alle selbst betriebenen YouTrack-Instanzen und deren Versionen inventarisieren. JetBrains patcht Cloud-Instanzen.
• Selbst betriebene Instanzen auf 2026.2.19422 oder neuer aktualisieren, bzw. auf den behobenen Build des eigenen Zweigs gemäss JetBrains-Seite.
• Falls das Patchen warten muss, die Mermaid- und LaTeX-Darstellung deaktivieren, nachdem die Einstellung in der JetBrains-Dokumentation bestätigt wurde.
• Wo möglich das Erstellen und Bearbeiten von Inhalten durch externe Benutzer oder Gastkonten einschränken und die Internetexposition von YouTrack prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• JetBrains Fixed Security Issues www.jetbrains.com
• ACN: Vulnerabilities in JetBrains products www.acn.gov.it
• Strix: CVE-2026-103493 www.strix.ai
• OpenCVE: CVE-2026-103493 app.opencve.io
• JetBrains YouTrack Markdown syntax documentation www.jetbrains.com
• CVEdetails: JetBrains YouTrack version list www.cvedetails.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:03.