CVE-2026-55064 in Vikunja
Riassunto
di VulDB • 29/08/2026
Vikunja è una piattaforma open-source di gestione dei task self-hosted. Dalla versione 2.3.0 alla 2.4.0, un utente con permessi di scrittura ma non di amministrazione su un progetto figlio condiviso può staccarlo dalla sua gerarchia padre inviando parent_project_id uguale a 0 all'endpoint POST /api/v1/projects/{project}. Il controllo di autorizzazione Project.CanUpdate in pkg/models/project_permissions.go e la logica UpdateProject in pkg/models/project.go filtrano solo i valori non nulli del genitore, mentre UpdateProject persiste sempre il valore di parent_project_id; pertanto, l'impostazione esplicita a zero aggira il requisito di amministrazione introdotto per CVE-2026-35595. Il distacco interrompe la catena ricorsiva di ereditarietà dei permessi e può compromettere la gerarchia del proprietario e l'accesso degli collaboratori ereditati. Questo problema è risolto nella versione 2.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.