CVE-2026-68582 in vikunja
Resumen
por VulDB • 2026-08-02
Las versiones de Vikunja >= 0.24.0 y <= 2.3.0 contienen una vulnerabilidad de autorización a nivel de objeto rota (BOLA) en el punto de conexión task-collection (GET /api/v1/projects/{project}/views/{view}/tasks). El punto de conexión carga la vista del proyecto solicitada desde la ruta URL sin verificar que el llamante esté autorizado para ello. Para un titular de token de enlace compartido, el ámbito de las tareas está fijado al propio proyecto del enlace compartido, pero la vista se toma de la ruta controlada por el atacante y nunca se vuelve a validar. Como resultado, cualquier titular de un enlace compartido de un proyecto puede leer los registros de los tableros kanban (bucket) de otros inquilinos —títulos de los buckets y el objeto completo del usuario created_by (nombre de usuario, nombre e ID)— para cada vista en la instancia. La misma carga previa de vistas sin autorización también crea una oráculo de existencia de proyecto/vista-ID (404 frente a no 404) utilizable por enlaces compartidos y usuarios autenticados ordinarios. El contenido de las tareas permanece restringido al propio proyecto del enlace compartido y no se divulga. Corregido en la versión 2.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.