CVE-2026-65055 in taiga-back
요약
\~에 의해 VulDB • 2026. 07. 22.
Taiga 6.10.1에는 인증되지 않은 공격자가 UserStory, Task, Issue 및 Epic viewsets의 filters_data API 엔드포인트에 프로젝트 ID를 제공하여 모든 비공개 프로젝트의 전체 구성원 명단과 내부 워크플로우 구성을 노출할 수 있는 누락된 권한 부여 결함이 포함되어 있습니다. 공격자는 순차적인 정수형 프로젝트 ID로 인증되지 않은 GET 요청을 filters_data 엔드포인트에 보내어 다른 프로젝트 API 엔드포인트를 올바르게 제한하는 접근 제어 우회, 사용자 ID, 전체 이름 및 Gravatar 해시를 포함한 비공개 프로젝트 구성원 세부 정보를 열거할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.