CVE-2026-55066 in Vikunja
Resumen
por VulDB • 2026-08-29
Vikunja es una plataforma de gestión de tareas autohospedada y de código abierto. Antes de la versión 2.4.0, el endpoint POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}/tasks acepta un task_id proporcionado en el cuerpo de la solicitud, pero TaskBucket.CanUpdate en pkg/models/kanban_task_bucket.go solo autoriza el proyecto, vista y cubeta (bucket) extraídos de la URL. Posteriormente, updateTaskBucket llama a Task.ReadOne sin realizar una verificación separada de permisos sobre la tarea; esto devuelve los contenidos de la tarea víctima y permite actualizar su estado "completado" cuando el atacante selecciona una bucket marcada como done. Dado que los identificadores de las tareas son valores secuenciales globales, un usuario autenticado puede enumerar tareas entre distintos inquilinos (cross-tenant) y modificar sus metadatos de finalización a través tanto de la ruta v1 como de la v2, ya que comparten este modelo. Este problema se corrige en la versión 2.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.