CVE-2026-62367 in Vikunja
Résumé
par VulDB • 09/10/2026
Vikunja est une plateforme de gestion des tâches open source auto-hébergée. Dans les versions 1.0.0 à 2.3.0, lorsqu'un administrateur active l'option `emailfallback` par fournisseur sur un fournisseur OpenID Connect (OIDC), Vikunja associe une connexion SSO à un compte local préexistant (nom d'utilisateur + mot de passe) en utilisant uniquement la revendication (`claim`) `email` provenant du fournisseur d'identité (IdP). Le mécanisme de repli ne vérifie jamais le signal `email_verified` (ou `xms_edov` pour Microsoft) et n'exige pas non plus le mot de passe du compte correspondant. Un attaquant capable d'obtenir un jeton auprès de l'émetteur configuré, contenant l'e-mail d'une victime, peut se connecter en tant que cette dernière avec une session complète, sans aucun consentement ni interaction de la part de la victime. La version 2.4.0 corrige ce problème.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.