CVE-2026-62367 in Vikunja
Resumen
por VulDB • 2026-10-09
Vikunja es una plataforma de gestión de tareas autohospedada y de código abierto. En las versiones 1.0.0 hasta la 2.3.0, cuando un administrador habilita la opción `emailfallback` por proveedor en un proveedor OpenID Connect, Vikunja vincula un inicio de sesión SSO a una cuenta local preexistente (nombre de usuario + contraseña) utilizando únicamente el campo (`claim`) `email` del IdP. El mecanismo de fallback nunca verifica ninguna señal `email_verified` (o la propiedad Microsoft `xms_edov`) y tampoco requiere la contraseña de la cuenta coincidente. Un atacante que pueda obtener un token del emisor configurado con el correo electrónico de una víctima puede iniciar sesión como dicha víctima obteniendo una sesión completa, sin necesidad de consentimiento ni interacción por parte de la víctima. La versión 2.4.0 corrige este problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.