Vulnerabilidades

JetBrains YouTrack versiones anteriores a 2019.2.53938, estaba usando configuraciones incorrectas, permitiendo a un usuario sin los permisos necesarios obtener otros nombres de proyectos.

La función UserHashedTableAuth en el framework JetBrains Ktor versiones anteriores a 1.2.0-rc, utiliza un Hash Unidireccional con una Sal Predecible para almacenar credenciales de usuario.

El framework JetBrains Ktor versiones anteriores a 1.2.0-rc, no sanea el nombre de usuario provisto por el usuario para el protocolo LDAP, lo que conlleva a una inyección de comandos.

En las versiones de JetBrains UpSource anteriores a la build 1293 de 2018.2, existe la divulgación de credenciales a través de comandos RPC

Los metadatos del servidor podrían estar expuestos porque uno de los mensajes de error reflejaba la respuesta completa devuelta al cliente en JetBrains TeamCity versiones anteriores a 2018.2.5 y UpSource versiones anteriores a 2018.2 build 1293.

JetBrains YouTrack versiones anteriores a 2019.1.52545, permitieron una lista blanca de la URL sin límites debido a la Inclusión de la Funcionalidad de una Esfera de Control no Confiable.

Se descubrió un problema en JetBrains TeamCity versión 2018.2.4. Un administrador de TeamCity Project podría obtener acceso a datos de nivel de servidor potencialmente confidenciales. El problema fue corregido en TeamCity versiones 2018.2.5 y 2019.1.

Se descubrió un problema en JetBrains TeamCity versión 2018.2.4. No presenta comprobación de certificado SSL para algunas conexiones https externas. Esto fue corregido en TeamCity 2019.1.

JetBrains Upsource versiones anteriores a 2019.1.1412, no escapó apropiadamente las etiquetas HTML en un bloque de código de comentarios, conllevando a una vulnerabilidad de tipo XSS.

Se descubrió un problema en JetBrains TeamCity versión 2018.2.4. El servidor TeamCity no estaba usando algunos encabezados HTTP relacionados con la seguridad. El problema fue corregido en TeamCity versión 2019.1.

JetBrains Rider versiones anteriores a 2019.1.2, estaba usando un archivo JetBrains.Rider.Unity.Editor.Plugin.Repacked.dll sin firmar.

El plugin JetBrains Vim anterior a la versión 0.52, estaba almacenando datos individuales del proyecto en el archivo global vim_settings.xml. Este archivo xml podría ser sincronizado en un repositorio de GitHub de acceso público.

En JetBrains Hub versiones anteriores a 2018.4.11436, no había ninguna opción para obligar a un usuario a cambiar la contraseña y no se implementó ninguna política de caducidad de contraseña.

JetBrains YouTrack versiones anteriores a 2019.2.53938, presentaban una posible vulnerabilidad de tipo XSS por medio de archivos adjuntos de problemas cuando se usa el navegador Firefox.

Se descubrió in JetBrains TeamCity 2018,2,4. Tenía un posible problema de ejecución de código remoto. Esto fue solucionado en TeamCity 2019,1

JetBrains IntelliJ IDEA versiones anteriores a 2019.2, estaba resolviendo el enlace de descarga del artefacto plantuml en descuento por medio de una conexión http de texto sin cifrar.

JetBrains YouTrack versiones anteriores a 2019.1.52584, tenía una posible vulnerabilidad de tipo XSS en los títulos del asunto.

JetBrains TeamCity 2019.1 y 2019.1.1 permite Cross-Site Scripting (XSS), lo que posiblemente permite enviar una petición HTTP arbitraria a un servidor TeamCity con el nombre del usuario actualmente registrado.

Un ataque SSRF fue posible en un servidor YouTrack de JetBrains. El problema (1 de 2) se solucionó en JetBrains YouTrack versión 2018.4.49168.

Un usuario sin los permisos necesarios podría obtener acceso a algunas configuraciones de TeamBity de JetBrains. El problema se solucionó en TeamCity 02.02.2018.

Las configuraciones DSL de Kotlin generadas permitieron el uso de una conexión sin cifrar para resolver artefactos. El problema se solucionó en JetBrains TeamCity 03.02.2018.

Se detectó una posible inyección de JavaScript almacenada en una de las páginas TeamBity de JetBrains. El problema se solucionó en TeamCity 03.02.2018.

Se detectó una posible inyección de JavaScript almacenada que requiere una acción deliberada del administrador del servidor. El problema se solucionó en JetBrains TeamCity 03.02.2018.

Se detectó un Cross-Site Scripting (XSS) reflejado en una página de usuario en una de las páginas TeamBity de JetBrains. El problema se solucionó en TeamCity 02.02.2018.

El manejo incorrecto de la entrada del usuario en la extracción de ZIP se detectó en JetBrains TeamCity. El problema se solucionó en TeamCity versión 02.02.2018.