CVE-2026-64812

JetBrains IntelliJ IDEA — nieautoryzowany input injection w sesji Remote Development

CVSS 10.0v3.1pub. 2026-07-23upd. 2026-07-28

Podatność w JetBrains IntelliJ IDEA przed wersją 2026.2 umożliwia nieautoryzowane wstrzyknięcie danych wejściowych (input injection) w ramach sesji Remote Development. Ze względu na brak wymaganego uwierzytelnienia i maksymalny wynik CVSS 10.0, podatność stanowi krytyczne zagrożenie dla środowisk programistycznych.

▸ Pokaż oryginał (EN)

In JetBrains IntelliJ IDEA before 2026.2 unauthorized input injection was possible in a Remote Development session

🤖 Analiza AI

Jak działa

Podatność sklasyfikowana jako CWE-306 (Missing Authentication for Critical Function) oznacza, że mechanizm odpowiedzialny za obsługę wejścia w sesji Remote Development nie weryfikuje tożsamości ani uprawnień podmiotu wysyłającego dane. Atakujący zdalnie, bez uwierzytelnienia i bez interakcji użytkownika, może wstrzyknąć dowolne dane wejściowe do aktywnej sesji Remote Development. Wektor ataku sieciowy z niską złożonością (AV:N/AC:L/PR:N/UI:N) oraz zmieniony zakres (S:C) wskazują, że skutki mogą wykraczać poza bezpośrednio atakowany komponent.

Skutki

Atakujący może uzyskać pełną kontrolę nad sesją Remote Development, co przy maksymalnych wskaźnikach poufności, integralności i dostępności (C:H/I:H/A:H) oznacza możliwość odczytu danych, modyfikacji kodu lub projektu oraz zakłócenia pracy środowiska deweloperskiego.

Mitygacja

Należy zaktualizować JetBrains IntelliJ IDEA do wersji 2026.2 lub nowszej. Szczegółowe informacje o poprawkach dostępne są na stronie producenta: https://www.jetbrains.com/privacy-security/issues-fixed/