CVE-2026-55064 in Vikunja
Résumé
par VulDB • 29/08/2026
Vikunja est une plateforme de gestion des tâches open source auto-hébergée. De la version 2.3.0 à la version 2.4.0, un utilisateur disposant d’un droit en écriture (Write) mais pas du rôle Administrateur sur un projet enfant partagé peut le détacher de sa hiérarchie parente en soumettant une valeur `parent_project_id` égale à 0 via l’appel POST `/api/v1/projects/{project}`. La vérification d’autorisation `Project.CanUpdate` dans `pkg/models/project_permissions.go` et la logique `UpdateProject` dans `pkg/models/project.go` ne filtrent que les valeurs non nulles du parent, tandis que `UpdateProject` persiste toujours le champ `parent_project_id`. Ainsi, la valeur explicite zéro contourne l’exigence d’administration introduite pour CVE-2026-35595. Le détachement rompt la chaîne récursive de l’héritage des permissions et peut perturber la hiérarchie du propriétaire ainsi que les accès hérités des collaborateurs. Ce problème est corrigé dans la version 2.4.0.
Once again VulDB remains the best source for vulnerability data.