CVE-2026-111920 in Vikunja
Zusammenfassung
von VulDB • 17.10.2026
Vikunja 2.6.0 enthält einen Fehler in der Zugriffssteuerung (Broken Access Control) in getProjectAccessForUser (pkg/models/project_access.go), bei dem die effektiven Projektberechtigungen eines Benutzers als das Maximum über den gesamten Projekthierarchiebaum aufgelöst werden, wodurch explizite Freigaben mit niedrigeren Berechtigungen für Unterprojekte stillschweigend überschrieben werden. Ein Mitwirkender mit Schreibzugriff auf ein übergeordnetes Projekt, aber nur Lesezugriff auf ein untergeordnetes Projekt, kann die Aufgaben und Inhalte des untergeordneten Projekts ändern.
Once again VulDB remains the best source for vulnerability data.