CVE-2026-50242: Bypass de autenticação no JetBrains Hub via acesso direto ao banco de dados
A CVE-2026-50242 afeta o JetBrains Hub e é descrita como um bypass de autenticação por acesso direto ao banco de dados, que poderia levar a acesso administrativo. O CNA classifica como crítica, e o NVD lista CVSS 3.1 de 9,8, com vetor de rede e sem necessidade de privilégios ou interação do usuário. Não há exploração confirmada nas fontes consultadas, e o aviso do fornecedor é a referência principal para correção.
Visão geral
A CVE-2026-50242 é um bypass de autenticação crítico no JetBrains Hub. Segundo o registro, um atacante capaz de alcançar o banco de dados diretamente poderia contornar a autenticação e obter acesso administrativo. A fraqueza é classificada como CWE-306, ausência de autenticação em função crítica.
Impacto
O CNA descreve a consequência como acesso administrativo. O NVD atribui pontuação base 9,8 (CVSS 3.1, AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H), indicando alto impacto em confidencialidade, integridade e disponibilidade. O próprio CNA lista pontuação 10 no CVSS 3.1. O registro não informa qual dessas pontuações se aplica ao seu ambiente.
Produtos e versões afetadas
O registro lista o Jetbrains Hub nas seguintes faixas:
- A partir de 2024.2.33606 até, sem incluir, 2024.2.148429
- A partir de 2024.3.44799 até, sem incluir, 2024.3.148430
- A partir de 2025.1.62455 até, sem incluir, 2025.1.148120
- A partir de 2025.2.86069 até, sem incluir, 2025.2.148048
- A partir de 2025.3.104432 até, sem incluir, 2025.3.148033
- A partir de 2026.1.12024 até, sem incluir, 2026.1.13757
As compilações corrigidas citadas na descrição são 2026.1.13757, 2025.3.148033, 2025.2.148048, 2025.1.148120, 2024.3.148430 e 2024.2.148429. O campo de correções do registro está vazio, portanto o aviso do fornecedor deve ser consultado para confirmar as versões corrigidas de cada ramo.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro, portanto a exploração ativa não é confirmada pelas fontes consultadas. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o JetBrains Hub para uma compilação igual ou superior à versão corrigida do seu ramo, conforme o aviso do fornecedor.
- Restrinja o acesso de rede direto ao banco de dados do Hub, permitindo que apenas a aplicação o alcance.
- Revise contas de administrador do Hub e alterações administrativas recentes em busca de atividade inesperada, especialmente em instâncias expostas a redes não confiáveis.
Orientação para detecção
- Monitore conexões ao banco de dados do Hub originadas de fontes diferentes dos servidores da aplicação Hub.
- Audite atribuições de papéis administrativos e alterações de configuração nos logs do Hub em busca de registros que não possam ser associados a operadores conhecidos.
Limitações das informações disponíveis
O registro não tem título em inglês e não possui dados de KEV, EPSS ou SSVC. A lista de correções está vazia. A descrição não detalha o caminho exato de acesso ao banco de dados, e a única referência consultada é a página do aviso do fornecedor, cujo conteúdo não faz parte deste registro.
Perguntas frequentes
Qual a gravidade da CVE-2026-50242?
O CNA classifica como crítica. O NVD atribui CVSS 3.1 de 9,8, e o CNA lista 10 na mesma versão do CVSS.
Esta CVE está sendo explorada ativamente?
O catálogo KEV da CISA não a lista no registro, portanto não há exploração confirmada nas fontes consultadas.
Quais versões estão corrigidas?
A descrição cita compilações corrigidas para vários ramos, incluindo 2026.1.13757 e 2025.3.148033. O campo de correções do registro está vazio, então confira o aviso do fornecedor para o seu ramo.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.