JetBrains 发布补丁，修复影响 1500 万开发者的 CVSS 满分（10）身份验证绕过漏洞

sec随谈
sec随谈

sec随谈

2026年7月2日 09:23
北京

在小说阅读器读本章

去阅读

摘要

JetBrains 修复了 Hub、YouTrack 和 GoLand 中的三个安全漏洞。其中最严重的是一个 CVSS 评分为 10 的 JetBrains 身份验证绕过漏洞（CVE-2026-50242）。该公司未发现任何现实世界中被滥用的迹象。

为何值得关注

据 JetBrains 自己统计，其工具触及超过 1500 万开发者。这一数字体现了其装机规模，不过此次漏洞的直接暴露范围要更窄一些。Hub 为许多团队提供单点登录（SSO）和账户管理功能。因此，一个账户漏洞就可能解锁所有相连的服务。CVSS 10 分标志着最高级别的严重性，而且该漏洞的利用无需任何预先权限。

真正面临风险的是自行托管（self-managed）的 Hub 和 YouTrack Server 实例。JetBrains 云服务的客户已由厂商完成修补。

攻击如何运作

最严重的漏洞 CVE-2026-50242 是一个 JetBrains 身份验证绕过漏洞。拥有数据库直接访问权限的攻击者可借此获得管理员控制权。其次，CVE-2026-56142（CVSS 9.9）允许低权限用户通过向账户附加认证详情来提升权限。第三个漏洞 CVE-2026-53915（CVSS 7.1）则允许通过不受信任的项目配置在 GoLand 中实现远程代码执行。

独立研究人员与 JetBrains 于 2026 年 5 月通过协同披露（coordinated disclosure）发现了这些问题。随后，厂商为其分配了 CVE 编号并发布了修复程序。

受影响的版本

Hub 相关漏洞影响早于 2026.1.13757、2025.3.148033、2025.2.148048、2025.1.148120、2024.3.148430 和 2024.2.148429 的构建版本。捆绑了 Hub 的 YouTrack Server 同样受影响。与此同时，GoLand 漏洞影响早于 2026.1.3 的版本。

利用状况

JetBrains 表示，未发现在测试环境之外存在被利用的证据。此外，目前也尚不存在公开的概念验证（PoC）代码。

补丁与缓解措施

请立即更新。JetBrains 已修补 YouTrack Cloud，并为 Hub、YouTrack Server 和 GoLand 发布了已修复的构建版本。自行托管环境的管理员应尽快升级至所列出的版本。完整清单请参阅 JetBrains 的\"已修复安全问题\"页面。

参考链接：

https://www.jetbrains.com/privacy-security/issues-fixed/