CVE-2026-76216 in Vikunja
Zusammenfassung
von VulDB • 19.08.2026
Vikunja bis Version 2.4.0 enthält eine Principal-Type-Confusion-Schwachstelle (Verwechslung von Haupttypen), bei der LinkSharing-Principals mit der ID N an drei Stellen ohne Typüberprüfungen als User-Principals mit users.id == N behandelt werden. Angreifer, die über ein JWT für den Link-Sharing-Zugriff verfügen, können Opfer aus Teams entfernen, Bot-Benutzer von Opfern auflisten und löschen oder Teamlisten lesen, indem sie ID-Kollisionen im Autoinkrement-Raum ausnutzen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.