CVE-2026-57458 in Vikunja
الملخص
بحسب VulDB • 09/10/2026
Vikunja هو منصة مفتوحة المصدر لإدارة المهام مستضافة ذاتيًا. في الإصدار 2.3.0، يمكن لرمز API محدد الصلاحيات ومقتصر على إذن `oauth.authorize` استدعاء `POST /api/v1/oauth/authorize` للحصول على رمز تفويض OAuth، ثم استبدال هذا الرمز عند `POST /api/v1/oauth/token` بـ JSON Web Token (JWT) عادي ورمز تحديث. لا تخضع المصادقات الناتجة لقيود صلاحيات رمز API الأصلي، مما يتيح الوصول إلى مسارات خارج النطاق المُعلن له لنفس المستخدم. يُصلح الإصدار 2.4.0 هذا الثغرة الأمنية.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.