🔍 CVE-2026-59795

8.1
CVSS Score
HIGH
2026-07-10
2026-10-24 23:10
✅ 완료

🇰🇷 한글 설명

JetBrains TeamCity 2026.1.2 이전 버전에는 인증 없이 에이전트를 등록할 수 있는 문제가 있으며, 이를 통해 저장형 XSS 공격이 가능했습니다. 이 취약점은 CVSS 8.1 등급의 높은 위험도로 평가됩니다.

💡 쉬운 설명

공격자가 로그인하지 않고도 TeamCity 서버에 악성 스크립트를 심을 수 있는 문제입니다. 이 스크립트는 관리자가 페이지를 열 때 실행되어 계정 정보가 탈취될 수 있습니다.

🇺🇸 원문 (English)

In JetBrains TeamCity before 2026.1.2 stored XSS via unauthenticated agent registration was possible

📍 영향받는 시스템

JetBrains TeamCity 2026.1.2 이전 버전

⚔️ 공격 벡터

인증 없이 에이전트 등록 요청에 악성 스크립트를 삽입하여 저장시키고, 관리자가 해당 화면을 열 때 실행되도록 유도

🛡️ 대응 방법

TeamCity를 2026.1.2 이상 버전으로 업데이트하고, 에이전트 등록 기능을 신뢰된 네트워크로 제한

🔧 검증 코드

응답 헤더 또는 로그인 페이지에 표시되는 TeamCity 버전을 확인하여 2026.1.2 미만이면 취약, 이상이면 패치 완료로 판단

Shell / Script 
curl -s -I http://localhost:8111/login.html | grep -i 'server\|x-teamcity' 2>/dev/null

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

💻 영향받는 소프트웨어

JetBrains TeamCity