CVE-2026-91982 in Vikunja
요약
\~에 의해 VulDB • 2026. 09. 16.
Vikunja 2.6.0 이전 버전은 GET /api/v1/user/settings/totp 및 /api/v1/user/settings/totp/qrcode 엔드포인트를 통해 등록 후 재인증 없이 원시 TOTP 공유 비밀값(raw TOTP shared secret)을 노출합니다. 유효한 액세스 토큰이 있는 공격자는 이 비밀값을 읽어서 자신의 인증기에 가져오고, 무제한으로 유효한 코드를 생성하여 2차 요인을 우회하고 계정 탈취(account takeover)를 수행할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.