CVE-2026-55065 in Vikunja
Riassunto
di VulDB • 29/08/2026
Vikunja è una piattaforma open-source di gestione dei compiti self-hosted. Dalla versione 0.24.6 alla 2.4.0, l'endpoint DELETE /api/v1/projects/:project/views/:view consente a un utente autenticato di fornire un identificatore della vista appartenente a un altro progetto, mentre l'autorizzazione viene verificata solo rispetto all'identificativo del progetto controllato dall'attaccante. La funzione ProjectView.CanDelete in pkg/models/project_view_permissions.go non verifica che la vista appartenga al progetto specificato nel percorso (path), e ProjectView.Delete in pkg/models/project_view.go prosegue anche dopo che l'eliminazione delle project_views con ambito ha interessato zero righe. Le successive operazioni di eliminazione selezionano task_buckets e task_positions esclusivamente tramite project_view_id, consentendo la distruzione cross-tenant degli assegnazioni Kanban e dell'ordinamento, lasciando intatti la vista della vittima e le relative attività. Questo problema è stato risolto nella versione 2.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.