17 августа JetBrains закрыла 8 CVE в YouTrack. CVE-2026-75045 (9.1): бэкап базы без логина. Self-hosted обновляют отдельно от Cloud.
17 августа JetBrains закрыла 8 CVE в YouTrack. CVE-2026-75045 (9.1): бэкап базы без логина. Self-hosted обновляют отдельно от Cloud.
17 августа 2026 JetBrains закрыла 8 CVE в YouTrack. Главный: CVE-2026-75045, CVSS 9.1. Без логина качался бэкап базы через shared draft signature. Cloud починили сами. Self-hosted обновляется отдельно. Если инстанс торчит в сеть и сборка старая, бэкап мог уйти целиком. Чужой CVE мы не закрываем.
Первоисточник: запись CVE-2026-75045 и таблица фиксов JetBrains, issues-fixed. Задеты сборки до 2025.3.156085, 2026.1.13913 и 2026.2.18112. Оценка 9.1: доступ из сети, без учётной записи, высокая цена для конфиденциальности и целостности, доступность не в векторе.
Рядом CVE-2026-75044: авторизованный пользователь мог удалять сущности через mailbox. Это уже не «с улицы». Это дыра в правах у того, кто в систему вошёл. Фикс в той же линейке сборок, плюс 2026.1.13914 и 2026.2.18095. Остальные шесть CVE в том же пакете 17 августа. Смотреть issues-fixed, не пересказ.
Админу self-hosted YouTrack, если инстанс виден из сети. Ставка простая: обновить сборку и закрыть периметр. Cloud JetBrains патчит сама. Self-hosted сам не патчится. «Починили в cloud» не значит, что ваш сервер уже чистый.
Пока патча нет, инстанс не должен отвечать с улицы. Бэкап базы в YouTrack это вся очередь, комментарии, вложения, учётки. Shared draft signature здесь не «фича для своих». Это путь, по которому без логина уезжал файл, который обычно берегут как секрет.
Класс боли: трекер с полным бэкапом торчит наружу, а доступ к дампу не требовал входа. Это не про «вендор плохой». Это про то, где живёт инстанс и кто его патчит.
Utracker ставится в контуре заказчика. Мы этот CVE не закрываем и не обещаем, что у self-hosted «такого не бывает». Обещаем другой контур: данные не в чужом cloud YouTrack, патч-цикл не у JetBrains. Если инстанс YouTrack ещё на периметре, сначала сборка из issues-fixed, потом переезд на Utracker. Коротко та же дыра уже была в разборе 19 августа, здесь пакет целиком.