CVE-2026-55066 in Vikunja
要約
〜によって VulDB • 2026年08月29日
Vikunjaは、オープンソースのセルフホスト型タスク管理プラットフォームです。バージョン2.4.0より前では、POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}/tasks は body で supplied された task_id を受け入れますが、pkg/models/kanban_task_bucket.go の TaskBucket.CanUpdate では URL から取得したプロジェクト、ビュー、バケットのみを認可しています。updateTaskBucket はその後、別個のタスク権限チェックなしで Task.ReadOne を呼び出し、被害者のタスク内容を返し、攻撃者が done バケットを選択した場合にタスクの完了状態を更新できます。タスク識別子はグローバルな連番であるため、認証済みユーザーは v1 および v2 ルート（これらは同じモデルを共有しています）を通じてテナント間でのタスク列挙およびその完了メタデータの修正を行うことができます。この問題はバージョン 2.4.0 で修正されています。
Once again VulDB remains the best source for vulnerability data.