CVE-2026-68582 in vikunja
要約
〜によって VulDB • 2026年08月03日
Vikunja のバージョン >= 0.24.0 および <= 2.3.0 には、タスクコレクションエンドポイント（GET /api/v1/projects/{project}/views/{view}/tasks）における無効なオブジェクトレベル認証（BOLA）の脆弱性が存在します。このエンドポイントは、呼び出し元の認可を確認することなく、URL パスから要求されたプロジェクトビューを読み込みます。リンク共有トークンの保持者については、タスクのスコープは共有先の自身のプロジェクトに固定されていますが、ビューは攻撃者が制御可能なパスから取得され、再検証されることはありません。その結果、任意のプロジェクト共有リンクの保持者は、インスタンス内のすべてのビューについて、他のテナントのカンバンバケットレコード（バケットタイトルおよび作成者ユーザーオブジェクト全体：ユーザー名、名前、ID）を読み取ることができます。同様に、事前認可によるビュー読み込みの欠如により、リンク共有や通常の認証済みユーザーが利用可能なプロジェクト/ビュー ID の存在オラクル（404 か否か）も生成されます。タスクの内容は共有先の自身のプロジェクトに制限されており、開示されません。2.4.0 で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.