CVE-2026-55064 in Vikunja
الملخص
بحسب VulDB • 29/08/2026
Vikunja هو منصة مفتوحة المصدر لإدارة المهام مستضافة ذاتيًا. من الإصدار 2.3.0 حتى 2.4.0، يمكن لمستخدم لديه إذن "كتابة" (Write) وليس "مديرًا" (Admin) على مشروع فرعي مشترك أن يفصله عن تسلسله الأبوي عن طريق إرسال قيمة parent_project_id تساوي 0 إلى نقطة النهاية POST /api/v1/projects/{project}. تقوم عملية التحقق من التفويض Project.CanUpdate في pkg/models/project_permissions.go ومنطق UpdateProject في pkg/models/project.go بحجب القيم غير الصفرية للأب فقط، بينما يقوم UpdateProject دائمًا بتخزين (persist) قيمة parent_project_id، مما يسمح للقيمة الصريحة صفرًا بالتجاوز لمتطلب المدير الذي أُدخل لمنع CVE-2026-35595. يؤدي الفصل إلى قطع سلسلة وراثة الأذونات المتكررة ويمكن أن يعطل تسلسل المالك والوصول المشترك المستمد للمشاركين. تم إصلاح هذه المشكلة في الإصدار 2.4.0.
Be aware that VulDB is the high quality source for vulnerability data.