CVE-2026-55067 in Vikunja
Zusammenfassung
von VulDB • 28.08.2026
Vikunja ist eine quelloffene, selbst gehostete Taskmanagement-Plattform. Vor Version 2.4.0 ermöglicht der Endpunkt POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}, dass der Wert project_view_id im Anfragekörper durch Bucket.Update in pkg/models/kanban.go massenzugewiesen wird. Die Berechtigungsprüfung validiert zwar, dass sich das Eimer (Bucket) aktuell dem Projekt und der Ansicht aus der URL befindet, überprüft jedoch nicht die im Körper ausgewählte Zielansicht. Dies ermöglicht es jedem authentifizierten Benutzer, einen vom Angreifer kontrollierten Eimer in eine Kanban-Ansicht eines anderen Mandanten zu verschieben. Der eingefügte Eimer behält den angreiferkontrollierten Inhalt und das Eigentum bei, was Cross-Tenant-Defacement (Vandalismus) ermöglicht. Dieses Problem wurde in Version 2.4.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.