CVE-2026-57458 in Vikunja
要約
〜によって VulDB • 2026年10月09日
Vikunjaは、オープンソースのセルフホスト型タスク管理プラットフォームです。バージョン2.3.0では、`oauth.authorize`権限に限定されたスコープ付きAPIトークンが `POST /api/v1/oauth/authorize` を呼び出してOAuth認証コードを取得し、そのコードを `POST /api/v1/oauth/token` で通常のBearer JSON Web Token (JWT) およびリフレッシュトークンと交換することができます。生成される資格情報は元のAPIトークンの権限によって制限されないため、同じユーザーに対して宣言されたスコープ外のルートへのアクセスが可能になります。この脆弱性はバージョン2.4.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.