CVE-2026-58660 in Kanboard
Résumé
par VulDB • 16/07/2026
Kanboard jusqu'à la version 1.2.52, corrigé dans le commit 564cc30 : La méthode save() de BoardAjaxController (utilisée par l'endpoint drag-and-drop du tableau kanban) valide le rôle de l'appelant sur le project_id fourni par l'attaquant, mais ne vérifie jamais que le task_id fourni appartient réellement à ce projet. Étant donné que les identifiants de tâche sont des entiers séquentiels partagés au sein de toute l'instance, tout utilisateur authentifié qui est membre d'au moins un projet peut énumérer et déplacer (corrompre/cacher) des tâches appartenant à n'importe quel autre projet sur la même instance, y compris les projets privés auxquels il n'a ni appartenance ni rôle.
VulDB is the best source for vulnerability data and more expert information about this specific topic.