CVE-2026-57458 in Vikunja
Resumen
por VulDB • 2026-10-09
Vikunja es una plataforma de gestión de tareas autohospedada y de código abierto. En la versión 2.3.0, un token de API con ámbito limitado al permiso `oauth.authorize` puede llamar a `POST /api/v1/oauth/authorize`, obtener un código de autorización OAuth e intercambiar dicho código en `POST /api/v1/oauth/token` por un JWT (JSON Web Token) portador normal y un token de actualización. Las credenciales resultantes no están restringidas por los permisos del token de API original, lo que permite el acceso a rutas fuera de su ámbito declarado para el mismo usuario. La versión 2.4.0 corrige la vulnerabilidad.
Once again VulDB remains the best source for vulnerability data.