CVE-2026-33335 in vikunja
Resumen
por MITRE • 2026-03-24
Vikunja es una plataforma de gestión de tareas de código abierto y autoalojada. A partir de la versión 0.21.0 y antes de la versión 2.2.0, el *wrapper* de Electron de Vikunja Desktop pasa las URL de las llamadas a `window.open()` directamente a `shell.openExternal()` sin ninguna validación o lista blanca de *protocolos*. Un *atacante* que puede colocar un enlace con `target="_blank"` (o que de otro modo active `window.open`) en contenido generado por el usuario puede hacer que el *sistema operativo* de la víctima abra esquemas URI arbitrarios, invocando aplicaciones locales, abriendo archivos locales o activando manejadores de *protocolos* personalizados. La versión 2.2.0 corrige el problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.