CVE-2026-33679 in vikunja
要約
〜によって VulDB • 2026年05月20日
Vikunjaは、オープンソースのセルフホスト型タスク管理プラットフォームです。バージョン2.2.1より前では、`pkg/utils/avatar.go`内の`DownloadImage`関数は、OpenID Connectの`picture`クレームURLからユーザーのアバター画像をダウンロードする際に、SSRF保護を備えていない裸の`http.Client{}`を使用しています。OIDCプロフィールの画像URLを制御できる攻撃者は、Vikunjaサーバーに対して任意の内部またはクラウドのメタデータエンドポイントへのHTTP GETリクエストを実行させることができます。これにより、Webhookシステムに正しく適用されているSSRF保護を回避できます。バージョン2.2.1でこの問題は修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.