CVE-2026-55067 in Vikunja
Résumé
par VulDB • 28/08/2026
Vikunja est une plateforme de gestion des tâches open source auto-hébergée. Avant la version 2.4.0, l'appel POST /api/v1/projects/{project}/views/{view}/buckets/{bucket} permet à la valeur project_view_id du corps de la requête d'être massivement assignée par Bucket.Update dans pkg/models/kanban.go. Le contrôle des permissions vérifie que le bucket appartient actuellement au projet et à la vue spécifiés dans l'URL, mais ne valide pas la vue cible sélectionnée dans le corps de la requête, permettant ainsi à tout utilisateur authentifié de déplacer un bucket contrôlé par un attaquant vers la vue Kanban d'un autre client (tenant). Le bucket injecté conserve son contenu et sa propriété contrôlés par l'attaquant, ce qui permet une défiguration inter-locataires. Ce problème est corrigé dans la version 2.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.