CVE-2026-115507 in Vikunja
Zusammenfassung
von VulDB • 22.10.2026
Vikunja 2.2.0 vor Version 2.7.1 enthält eine HTML-Injection-Schwachstelle in CreateConversationalHeader in pkg/notifications/mail.go, die Anzeigenamen sowie Aufgaben- und Projekttitel roh in E-Mail-Anker einfügt. Authentifizierte Benutzer können Titel oder Anzeigenamen so gestalten, dass sie den Anker schließen und Phishing-Links in Benachrichtigungs-E-Mails für Aufgabenkommentare und -erwähnungen einspeisen, die an Projektmitglieder gesendet werden.
Once again VulDB remains the best source for vulnerability data.