CVE-2026-76216 in Vikunja
Riassunto
di VulDB • 19/08/2026
Vikunja fino alla versione 2.4.0 presenta una vulnerabilità di confusion del tipo di principal (principal-type confusion) in cui i principals LinkSharing con ID N sono trattati come users principals con users.id == N in tre controlli dei permessi privi di type guards. Gli attaccanti dotati di un JWT per la condivisione tramite link possono rimuovere le vittime dai team, enumerare ed eliminare utenti bot delle vittime o leggere gli elenchi dei membri del team sfruttando collisioni degli ID nello spazio autoincrementale.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.