Ngày 06/11/2026, JetBrains phát hành một đợt bản vá lớn: theo SecurityOnline, có 61 CVE trên 9 công cụ — 2 nghiêm trọng, 20 cao, 26 trung bình và 13 thấp. Danh sách gồm IntelliJ IDEA, WebStorm, CLion, Hub, YouTrack, Datalore, Ktor, Junie CLI và Toolbox App. Chưa nguồn nào ghi nhận khai thác thực tế hay mã khai thác công khai.
Hai lỗi nghiêm trọng nằm ở sản phẩm máy chủ. CVE-2026-123294 (CVSS 9.6) trên JetBrains Hub — dịch vụ đăng nhập và quản lý người dùng phía sau YouTrack tự host và các máy chủ JetBrains khác: một người dùng đã đăng nhập, kể cả quyền thấp, có thể leo thang đặc quyền bằng cách thay đổi thông tin email trong quá trình xác minh. Bản sửa: Hub 2026.2.52556. CVE-2026-123279 (CVSS 9.0) trên Datalore, nền tảng notebook phân tích dữ liệu của JetBrains, cho phép người chỉ có quyền xem chạy mã trong phần tính toán của notebook; đã sửa ở Datalore 2026.4. Một lỗi khác của Datalore, CVE-2026-123280 (CVSS 8.1), cho phép người chưa đăng nhập chạy mã qua báo cáo công khai; lỗi thứ hai của Hub, CVE-2026-123295 (CVSS 8.1), cho phép người dùng tự tắt xác thực hai lớp bắt buộc.
Với lập trình viên dùng IDE: IntelliJ IDEA nhận 15 bản sửa. Theo hồ sơ CVE, CVE-2026-123302 (CVSS 7.8) cho phép chạy mã khi mở project không tin cậy thông qua cơ chế dò tìm script engine; các bản trước 2026.3, 2026.2.4, 2026.1.5.1 và 2025.3.6.2 bị ảnh hưởng. IntelliJ IDEA còn được sửa lỗi XSS khi xử lý OpenAPI (CVE-2026-123301, CVSS 8.2) và các lỗi liên quan ShellCheck, đường dẫn Terraform. CLion (xử lý profile GDB), WebStorm và Junie CLI — agent lập trình của JetBrains (lỗi thực thi lệnh, sửa ở 26.8.24) — cũng được vá.
Các bản sửa khác: YouTrack nhận 15 bản sửa, trong đó CVE-2026-123323 (CVSS 8.4): kiểm tra URL yếu khiến ứng dụng có thể gửi yêu cầu REST mà người dùng không đồng ý. Framework web Ktor sửa lỗi giả mạo phiên qua cookie bị chỉnh sửa (CVE-2026-123317, CVSS 8.1) ở bản 3.6.1. SecurityOnline ghi bản YouTrack đã sửa là 2026.2.19728 nhưng bảng của họ lại ghi 2026.2.19656 cho CVE-2026-123323 — hãy đối chiếu danh sách lỗi đã sửa của JetBrains cho đúng bản bạn dùng.
