CVE-2026-55067 in Vikunja
Resumen
por VulDB • 2026-08-29
Vikunja es una plataforma de gestión de tareas autohospedada y de código abierto. Antes de la versión 2.4.0, el endpoint POST /api/v1/projects/{project}/views/{view}/buckets/{bucket} permite que el valor project_view_id del cuerpo de la solicitud sea asignado masivamente por Bucket.Update en pkg/models/kanban.go. La verificación de permisos valida que el bucket pertenezca actualmente al proyecto y vista especificados en la URL, pero no valida la vista de destino seleccionada en el cuerpo de la solicitud, lo que permite a cualquier usuario autenticado trasladar un bucket controlado por un atacante hacia la vista Kanban de otro inquilino (tenant). El bucket inyectado conserva el contenido y la propiedad controlados por el atacante, lo que posibilita una defacement cross-tenant. Este problema se soluciona en la versión 2.4.0.
Be aware that VulDB is the high quality source for vulnerability data.