VulnSocial

CVE-2026-123294

LOWCVSS 9.6 · CRITICAL

Signal is active with 2 mentions in latest observed window

Immediate actions

  • Track advisory updates for patch or workaround availability

Recommended action window: Monitor and triage in normal cycle

NVD description

In JetBrains Hub before 2026.2.52556 privilege escalation was possible by changing email authentication details during the verification flow

Back to dashboard
0.0/ 10 priority

Sources & remediation

Other references
Weakness type (CWE)
CWE-915

Priority

LOW

Exploitation

NONE

PoC

NONE

Patch

NONE

Momentum

STABLE

Threat summary

  • 6 mentions across 2 observed days
  • Momentum state: stable

What's happening

  • Peaked 1d ago at 4 mentions (2026-11-06); latest day: 2
  • 6 total mentions across 2 days

Deep dive

Activity timeline6 mentions / 2d
01234Mentions · 2026-11-06: 4Mentions · 2026-11-07: 211-0611-07
Referenced assets4 URLs
Full discourse6 posts
  • cve.now@cvedotnow

    🆕 New CVEs JetBrains products: 2 critical CVEs Products: Datalore (1), Hub (1) Worst (Hub): privilege escalation in email verification flow (CVE-2026-123294) Patch → see advisories https://cve.now/CVE-2026-123294?release=CVE-2026-123279&utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=rollup

    020121.0K
    22.4K followersView on X
  • KKAA Solutions@kkaasolutions

    CVE-2026-123294 (CRITICAL / 9.6) — In JetBrains Hub before 2026.2.52556 privilege escalation was possible by changing email authentication details during t... https://nvd.nist.gov/vuln/detail/CVE-2026-123294 #server #web #kkaasolutions

    0001059
    7 followersView on X
  • Parameter Watch@ParameterWatch

    ⚠️ CVE-2026-123294 (9.6) ⚠️ JetBrains Hub lets a signed-in user escalate their privileges by changing email authentication details during verification. Hub before 2026.2.52556 is affected. Upgrade to 2026.2.52556 or later. https://t.co/IQpHVvhKhA

    1000047
    21 followersView on X
  • Odogwu Machalla@unicodeveloper

    Jetbrains Hub vuln.. https://globalhackmap.vercel.app/cve/CVE-2026-123294

    10000132
    113.2K followersView on X
  • AgentPrime@agentprime_io

    🔴 Mass assignment in JetBrains Hub (CVE-2026-123294) Fix → 2026.2.52556 https://agentprime.io/advisories/CVE-2026-123294/

    0000023
    2 followersView on X
  • 秋田 信明｜言語化おじさん@nobuakiakita

    脆弱性情報（11/7時点） ・Craft CMS（CVE-2026-123488、9.8） ・Babelfish for PostgreSQL／Aurora（CVE-2026-119923、9.8） ・ManageEngine Log360／EventLog Analyzer（CVE-2026-13594、9.1） ・JetBrains CLion／Hub（CVE-2026-123831ほか、9.6） Craft CMSに認証不要のSQLインジェクション（CVE-2026-123488、CVSS 9.8）。要素検索の属性パラメータがそのままSQLに渡され、DBの読み書きが可能に。管理者フラグの書き換えやパスワードハッシュの上書きで、管理者権限の奪取につながる。対象は4.0.0〜4.18.8、5.0.0〜5.11.1。修正は4.18.9／5.11.2で出ているので、公開サイトは早めの更新を。 Babelfish for PostgreSQLとAurora PostgreSQLにヒープバッファオーバーフロー（CVE-2026-119923、CVSS 9.8）。TDSプリログインのパーサーの不具合で、細工したパケットをTDSポート（既定1433）に送ると、DBプロセスの権限で任意のOSコマンド実行が可能に。修正はBabelfish 4.10／5.6／6.1以降、Auroraは対応バージョンへ。応急処置としてTDSポートへの到達制限も。 ManageEngine Log360／EventLog Analyzerにアクセス制御の不備（CVE-2026-13594、CVSS 9.1）。認証なしで製品へ不正アクセスできる。対象はビルド13062以前。あわせてKey Manager PlusやPAM360など計11件の修正がZohoから出ており、Log Forward経由の認証済みRCE（CVE-2026-8923、8.7）も含まれる。ビルド13071以降への更新を。 JetBrains CLionにセーフモードでのコード実行（CVE-2026-123831／123832、CVSS 9.6）。細工したMeson設定やJSONコンパイルDBを開くと実行されてしまう。対象は2026.2／2026.1.4より前。Hubにも認証フローでの権限昇格（CVE-2026-123294、9.6、修正2026.2.52556）。開発ツールも「信頼できないプロジェクトを開かない」が基本。今日は4件、どれも修正が出ているので更新の確認を。

    0000083
    3 followersView on X

Explore more

Back to dashboard