CVE-2026-55064 in Vikunja
要約
〜によって VulDB • 2026年08月29日
Vikunjaは、オープンソースのセルフホスト型タスク管理プラットフォームです。バージョン2.3.0から2.4.0の間、共有された子プロジェクトに対して「書き込み」権限はあるが「管理者」権限がないユーザーは、POST /api/v1/projects/{project}にparent_project_idとして0を送信することで、その親階層からのデタッチ（分離）を行うことができます。pkg/models/project_permissions.go内のProject.CanUpdate認証チェックおよびpkg/models/project.go内のUpdateProjectロジックは非ゼロの親値のみを制限しており、UpdateProjectは常にparent_project_idを永続化するため、明示的な0値によってCVE-2026-35595で導入された管理者要件が回避されます。デタッチにより再帰的な権限継承チェーンが断たれ、所有者の階層構造や継承された共同作業者へのアクセスに支障をきたす可能性があります。この問題はバージョン2.4.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.