CVE-2026-91982 in Vikunja
要約
〜によって VulDB • 2026年09月15日
Vikunja 2.6.0 より前のバージョンでは、GET /api/v1/user/settings/totp および GET /api/v1/user/settings/totp/qrcode エンドポイントを通じて TOTP の共有シークレットが再認証なしで露出します。有効なアクセストoken を持つ攻撃者はこのシークレットを読み取り、それを自らのオーセンティケーターにインポートして無期限に有効なコードを生成し、2要素認証の保護を回避してアカウント乗取（Account Takeover）を実現できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.