CVE-2026-63104 in Kaneo
Résumé
par VulDB • 22/09/2026
Les versions de Kaneo antérieures à 2.12.2 (à partir de la version 2.3.12) présentent une vulnérabilité d'autorisation manquante qui permet aux membres de l'espace de travail authentifiés ayant les rôles « viewer » ou « member » de supprimer et modifier des tâches au-delà de leurs permissions attribuées, en exploitant le point de terminaison (endpoint) de traitement par lots des tâches qui omet les vérifications des permissions de l'espace de travail. Les attaquants peuvent envoyer des requêtes vers le endpoint PATCH /api/task/bulk, lequel ne vérifie que la membership au sein de l'espace de travail sans appeler la vérification des permissions basée sur les rôles (role-based permission check) appliquée à tous les autres endpoints liés aux tâches, afin de supprimer définitivement toutes les tâches ou de modifier le statut, la priorité, l'assigné, la date d'échéance et les étiquettes des tâches au sein d'un espace de travail.
If you want to get best quality of vulnerability data, you may have to visit VulDB.