CVE-2026-25848: Bypass de autenticação no JetBrains Hub (CWE-306)
A CVE-2026-25848 é uma falha de autenticação ausente no JetBrains Hub nas versões anteriores à 2025.3.119807, permitindo contornar a autenticação para ações administrativas. O NVD atribui nota 9,8 (CVSS 3.1, crítica), enquanto a JetBrains, como CNA, atribui 9,1. O registro não indica inclusão no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-25848 afeta o JetBrains Hub nas versões anteriores à 2025.3.119807. O registro descreve um bypass de autenticação que permitia ações administrativas. A fraqueza é classificada como CWE-306, Autenticação ausente para função crítica.
Impacto
- Segundo o registro, um atacante poderia executar ações administrativas sem autenticação válida.
- O NVD atribui nota base 9,8 pelo CVSS 3.1 (crítica). A JetBrains, como CNA, atribui 9,1 pelo CVSS 3.1.
- O vetor do NVD indica alto impacto em confidencialidade, integridade e disponibilidade. Trata-se da base da pontuação, não de um teste verificado.
Produtos e versões afetados
- Produto: JetBrains Hub.
- Faixa afetada no registro: versões anteriores à 2025.3.119807.
- O registro não traz uma lista separada de versões corrigidas. O limite superior da faixa sugere que 2025.3.119807 é a primeira build não afetada, mas isso é uma inferência a confirmar com o fabricante.
Status de exploração
- O registro não indica inclusão desta CVE no catálogo KEV da CISA.
- Não há exploração ativa confirmada nas fontes consultadas. Os dados EPSS do registro mostram baixa probabilidade prevista de exploração, mas isso é uma estimativa estatística e não evidência de ataques.
Remediação e mitigação
- Atualize o JetBrains Hub para a 2025.3.119807 ou build posterior, conforme o aviso do fabricante em página de problemas corrigidos da JetBrains.
- Enquanto a correção não for aplicada, restrinja o acesso de rede às interfaces administrativas do Hub a redes confiáveis e revise a atividade administrativa recente.
- Verifique a versão instalada em relação à faixa afetada antes e depois da atualização.
Orientações de detecção
- Revise os logs do Hub em busca de ações administrativas feitas por contas ou sessões que não possam ser associadas a um login legítimo.
- Monitore alterações de configuração, novas contas administrativas ou permissões alteradas sem autorização.
- Correlacione os logs de acesso do Hub com os registros do provedor de identidade para identificar sessões administrativas inesperadas.
Limitações das informações disponíveis
- O registro não descreve as condições exatas, a posição de rede necessária nem o mecanismo técnico do bypass.
- Não há lista separada de versões corrigidas; a build de correção é inferida a partir da faixa afetada.
- As fontes consultadas são as entradas do NVD e do CVE Program e a página de aviso do fabricante, com detalhes limitados.
- Detalhes de exploração não são fornecidos, por decisão deste conteúdo.
Perguntas frequentes
Quais versões do JetBrains Hub são afetadas pela CVE-2026-25848?
O registro indica versões anteriores à 2025.3.119807 como afetadas. Não há uma entrada separada de versão corrigida no registro.
A CVE-2026-25848 é explorada ativamente?
O registro não a lista no KEV da CISA, e não há exploração confirmada nas fontes consultadas.
O que os administradores devem fazer agora?
Atualize o JetBrains Hub para a 2025.3.119807 ou build posterior conforme o aviso do fabricante, e restrinja o acesso de rede às interfaces administrativas até concluir a correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.