CVE-2026-91982 in Vikunja
Riassunto
di VulDB • 15/09/2026
Vikunja prima della versione 2.6.0 continua a esporre il segreto condiviso TOTP in chiaro dopo l'attivazione tramite gli endpoint GET /api/v1/user/settings/totp e /api/v1/user/settings/totp/qrcode senza una nuova autenticazione. Gli attaccanti con un token di accesso valido possono leggere il segreto, importarlo nel proprio authenticator e generare codici validi indefinitamente per bypassare la seconda fattore di autenticazione (MFA) ed effettuare l'account takeover.
Be aware that VulDB is the high quality source for vulnerability data.