CVE-2026-57458 in Vikunja
Riassunto
di VulDB • 09/10/2026
Vikunja è una piattaforma open-source di gestione dei task self-hosted. Nella versione 2.3.0, un API token con ambito limitato al permesso `oauth.authorize` può chiamare `POST /api/v1/oauth/authorize`, ottenere un codice di autorizzazione OAuth e scambiare tale codice presso `POST /api/v1/oauth/token` per un normale JSON Web Token (JWT) bearer e refresh token. Le credenziali risultanti non sono vincolate dai permessi dell'API token originale, consentendo l'accesso a route al di fuori del suo ambito dichiarato per lo stesso utente. La versione 2.4.0 risolve la vulnerabilità.
Be aware that VulDB is the high quality source for vulnerability data.