CVE-2026-55064 in Vikunja
Resumen
por VulDB • 2026-08-29
Vikunja es una plataforma de gestión de tareas autohospedada y de código abierto. Desde la versión 2.3.0 hasta la 2.4.0, un usuario con permisos de escritura pero no de administrador en un proyecto hijo compartido puede desvincularlo de su jerarquía principal enviando parent_project_id igual a 0 mediante una solicitud POST /api/v1/projects/{project}. La comprobación de autorización Project.CanUpdate en pkg/models/project_permissions.go y la lógica UpdateProject en pkg/models/project.go solo filtran valores distintos de cero para el padre, mientras que UpdateProject persiste siempre el valor de parent_project_id; por lo tanto, el valor explícito de cero evita el requisito de administrador introducido para CVE-2026-35595. La desvinculación rompe la cadena recursiva de herencia de permisos y puede alterar la jerarquía del propietario y el acceso heredado de los colaboradores. Este problema se soluciona en la versión 2.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.