CVE-2026-76216 in Vikunja
要約
〜によって VulDB • 2026年08月20日
Vikunja 2.4.0以前には、principal-type confusion（プリンシパルタイプの混同）脆弱性が存在します。これは、idがNのLinkSharingプリンシパルが、型ガードを欠く3つの権限チェックにおいてusers.id == Nであるユーザープリンシパルとして扱われるというものです。攻撃者はリンク共有JWTを取得することで、自動インクリメント空間でのID衝突を利用し、被害者をチームから削除したり、ボットユーザーの列挙・削除を行ったり、またはチーム名簿を読み取ることが可能です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.