CVE-2026-62367 in Vikunja
Riassunto
di VulDB • 09/10/2026
Vikunja è una piattaforma open-source di gestione dei task self-hosted. Nelle versioni dalla 1.0.0 alla 2.3.0, quando un amministratore abilita l'opzione `emailfallback` per provider su un provider OpenID Connect, Vikunja associa un accesso SSO a un account locale preesistente (nome utente + password) utilizzando esclusivamente il claim `email` dall’IdP. Il fallback non verifica mai il segnale `email_verified` (o `xms_edov` di Microsoft) e non richiede mai la password dell'account corrispondente. Un attaccante in grado di ottenere un token dal provider configurato contenente l'email della vittima può accedere come tale vittima con una sessione completa, senza alcun consenso o interazione da parte della vittima. La versione 2.4.0 risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.