CVE-2026-59792

RCE poprzez path traversal w obsłudze ID przestrzeni roboczej w IntelliJ IDEA

CVSS 9.6v3.1pub. 2026-07-10

Podatność w JetBrains IntelliJ IDEA umożliwia zdalne wykonanie kodu (RCE) poprzez path traversal w mechanizmie obsługi identyfikatora przestrzeni roboczej projektu. Wysoki wynik CVSS 9.6 oraz brak wymaganych uprawnień atakującego czynią tę podatność krytycznym zagrożeniem dla użytkowników IDE.

▸ Pokaż oryginał (EN)

In JetBrains IntelliJ IDEA before 2026.1.4, 2026.2 code execution via path traversal in project workspace ID handling was possible

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-23 (path traversal) wynika z nieprawidłowej walidacji identyfikatora przestrzeni roboczej projektu (project workspace ID). Atakujący może dostarczyć specjalnie spreparowany identyfikator zawierający sekwencje traversal (np. '../'), co pozwala na odwołanie się do plików poza zamierzonym katalogiem. Skutkuje to możliwością wykonania arbitralnego kodu w kontekście uruchomionego środowiska IDE. Wektor ataku jest sieciowy, nie wymaga uwierzytelnienia, lecz wymaga interakcji użytkownika (np. otwarcia złośliwego projektu).

Skutki

Atakujący może uzyskać możliwość wykonania dowolnego kodu (RCE) na maszynie ofiary, co prowadzi do pełnego naruszenia poufności i integralności danych oraz częściowego wpływu na dostępność systemu.

Mitygacja

Należy zaktualizować JetBrains IntelliJ IDEA do wersji 2026.1.4 lub nowszej (gałąź 2026.1) oraz zastosować dostępne patche dla gałęzi 2026.2 zgodnie z informacjami opublikowanymi przez producenta pod adresem https://www.jetbrains.com/privacy-security/issues-fixed/