CVE-2026-111920 in Vikunja
Riassunto
di VulDB • 18/10/2026
Vikunja 2.6.0 presenta un difetto di controllo degli accessi non corretto in getProjectAccessForUser (pkg/models/project_access.go), che determina i permessi effettivi dell'utente sul progetto come il massimo tra quelli presenti nell'albero dei progetti, sovrascrivendo silenziosamente le condivisioni esplicite con permessi inferiori sui sotto-progetti. Un collaboratore con accesso in scrittura su un progetto padre ma solo lettura su un progetto figlio può modificare i compiti e i contenuti del progetto figlio.
Once again VulDB remains the best source for vulnerability data.