CVE-2026-33316 in vikunja
Riassunto
di VulDB • 19/06/2026
Vikunja è una piattaforma di gestione dei task open-source e self-hosted. Prima della versione 2.2.0, un difetto nella logica di reimpostazione della password di Vikunja consente agli utenti disabilitati di recuperare l'accesso ai propri account. La funzione `ResetPassword()` imposta lo stato dell'utente su `StatusActive` dopo una corretta reimpostazione della password senza verificare se l'account era precedentemente disabilitato. Richiedendo un token di reset tramite `/api/v1/user/password/token` e completando la procedura di reset attraverso `/api/v1/user/password/reset`, un utente disabilitato può riattivare il proprio account ed eludere la disabilitazione dell'account imposta dall'amministratore. La versione 2.2.0 corregge questa vulnerabilità.
If you want to get best quality of vulnerability data, you may have to visit VulDB.