CVE-2026-68582 in vikunja
요약
\~에 의해 VulDB • 2026. 08. 02.
Vikunja 버전 >= 0.24.0 및 <= 2.3.0은 작업 컬렉션 엔드포인트(GET /api/v1/projects/{project}/views/{view}/tasks)에서 손상된 객체 수준 권한 부여(BOLA, Broken Object Level Authorization) 취약점을 포함하고 있습니다. 해당 엔드포인트는 호출자가 이에 대한 권한이 있는지 확인하지 않고 URL 경로에서 요청된 프로젝트 뷰를 로드합니다. 링크 공유 토큰 보유자의 경우 작업 범위는 공유 자체의 프로젝트에 고정되지만, 뷰는 공격자가 제어하는 경로에서 가져오며 재검증되지 않습니다. 그 결과, 모든 프로젝트 공유 링크를 보유한 사용자는 인스턴스의 각 뷰에 대해 다른 테넌트의 칸반 버킷 레코드(버킷 제목 및 전체 created_by 사용자 객체: username, name, id)를 읽을 수 있습니다. 동일한 사전 권한 부여 누락으로 인한 뷰 로드 문제는 링크 공유와 일반 인증된 사용자가 사용할 수 있는 프로젝트/뷰-ID 존재 오라클(404 vs 비-404)도 생성합니다. 작업 내용은 공유 자체의 프로젝트로 제한되며 유출되지 않습니다. 2.4.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.