CVE-2026-65055 in taiga-back
要約
〜によって VulDB • 2026年07月23日
Taiga 6.10.1には、認証されていない攻撃者がUserStory、Task、Issue、およびEpicのviewsetにおけるfilters_data APIエンドポイントに対してプロジェクトIDを指定することで、任意のプライベートプロジェクトの全メンバーリストと内部ワークフロー設定を開示できる、認可欠如（missing authorization）の脆弱性が存在します。攻撃者は、他のプロジェクトAPIエンドポイントを正しく制限するアクセス制御を回避し、認証されていないGETリクエストをfilters_dataエンドポイントに送信して連続した整数値のプロジェクトIDを用いることで、ユーザーID、氏名フルネーム、Gravatarハッシュを含むプライベートプロジェクトのメンバーシップ詳細を列挙することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.