CVE-2026-41153: Injeção de Comando no JetBrains Junie via Arquivo de Projeto Malicioso
A CVE-2026-41153 afeta o JetBrains Junie em versões anteriores à 252.549.29, em que um arquivo de projeto malicioso pode levar à execução de comandos, classificada como CWE-77 (Injeção de Comando). O NVD atribui nota 9.8 (crítica) com vetor CVSS de vetor de ataque de rede, sem privilégios e sem interação do usuário. O registro não indica inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-41153 é uma falha de injeção de comando no JetBrains Junie. Segundo o registro, era possível executar comandos por meio de um arquivo de projeto malicioso em versões anteriores à 252.549.29. A fraqueza está classificada como CWE-77.
Impacto
O NVD atribui pontuação base 9.8 (crítica). O vetor do NVD descreve vetor de ataque de rede, baixa complexidade, sem necessidade de privilégios, sem interação do usuário, escopo inalterado e alto impacto na confidencialidade, integridade e disponibilidade. A JetBrains informa uma pontuação diferente, 5.8, para a mesma CVE. As duas pontuações divergem, e o registro não explica a diferença.
Produtos e versões afetadas
- Produto: JetBrains Junie
- Faixa afetada: anteriores à 252.549.29
- Versão corrigida: 252.549.29, que é o limite da faixa afetada no registro. A lista de correções do registro está vazia, então a página do fornecedor é o local para confirmar a build exata corrigida.
Status de exploração
A CVE não consta no catálogo KEV da CISA. A probabilidade EPSS é 0.00351 (percentil 0.27545). Os dados SSVC do registro indicam exploração como none e automatizável como no. Nenhuma exploração confirmada aparece nas fontes consultadas.
Remediação e mitigação
- Atualize o JetBrains Junie para a versão 252.549.29 ou posterior, seguindo o aviso do fornecedor em JetBrains issues fixed.
- Até a atualização, evite abrir arquivos de projeto de origem não confiável nas instalações afetadas.
- Revise configurações da IDE e de componentes de assistente que permitam ações automáticas sobre o conteúdo do projeto, restringindo-as quando possível.
Orientações de detecção
- Observe processos filhos inesperados iniciados pela IDE ou por seus componentes de assistente.
- Revise alterações em arquivos de configuração compartilhados de projetos no controle de versão, especialmente as introduzidas por colaboradores externos.
- Mantenha um inventário das instalações do Junie para verificar o status de correção.
Limitações das informações disponíveis
O registro não descreve a estrutura exata do arquivo de projeto malicioso, o ponto específico da injeção nem os comandos que poderiam ser executados. Não informa as plataformas afetadas nem se outros produtos da JetBrains estão envolvidos. A lista de versões corrigidas do registro está vazia, e as pontuações CVSS do NVD e da JetBrains divergem.
Perguntas frequentes
Quais versões do JetBrains Junie são afetadas pela CVE-2026-41153?
Segundo o registro, são afetadas as versões anteriores à 252.549.29. A ação recomendada é atualizar para a 252.549.29 ou posterior, conforme o aviso do fornecedor.
A CVE-2026-41153 é explorada ativamente?
O registro não a mostra no catálogo KEV, e nenhuma exploração confirmada aparece nas fontes consultadas. Mesmo assim, a correção deve ser tratada como prioridade pela nota crítica do NVD.
Por que existem duas pontuações CVSS diferentes?
O NVD atribui 9.8, enquanto a JetBrains informa 5.8 nos dados reunidos. O registro não explica a diferença, então o motivo é desconhecido.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.