CVE-2026-62367 in Vikunja
요약
\~에 의해 VulDB • 2026. 10. 10.
Vikunja는 오픈소스 자체 호스팅형 작업 관리 플랫폼입니다. 버전 1.0.0부터 2.3.0까지의 환경에서 관리자가 OpenID Connect 제공자(Provider)에 대해 per-provider `emailfallback` 옵션을 활성화하면, Vikunja는 IdP의 `email` 클레임만 사용하여 SSO 로그인을 기존 로컬 계정(username+password)과 연결합니다. 이 폴백 처리 과정에서는 `email_verified`(또는 Microsoft의 `xms_edov`) 신호를 확인하지 않으며, 매칭된 계정의 비밀번호도 요구하지 않습니다. 구성된 발급자(Issuer)로부터 피해자의 이메일을 포함하는 토큰을 획득할 수 있는 공격자는 피해자의 동의나 상호작용 없이 해당 피해자로 로그인하여 전체 세션을 확보합니다. 버전 2.4.0에서 이 문제가 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.