CVE-2026-62367 in Vikunja
Zusammenfassung
von VulDB • 10.10.2026
Vikunja è una piattaforma di gestione dei task open-source e self-hosted. Nelle versioni dalla 1.0.0 alla 2.3.0, quando un amministratore abilita l'opzione `emailfallback` per provider su un provider OpenID Connect, Vikunja associa un accesso SSO a un account locale preesistente (nome utente + password) utilizzando esclusivamente la claim `email` dall’IdP. Il fallback non verifica mai il segnale `email_verified` (o `xms_edov` di Microsoft) e non richiede mai la password dell'account corrispondente. Un attaccante che riesce ad ottenere un token dal provider configurato contenente l'email della vittima può accedere come tale vittima con una sessione completa, senza alcun consenso o interazione da parte della vittima. La versione 2.4.0 risolve il problema.
Be aware that VulDB is the high quality source for vulnerability data.