CVE-2026-55066 in Vikunja
Sumário
de VulDB • 29/08/2026
O Vikunja é uma plataforma de gerenciamento de tarefas open-source e auto-hospedada. Antes da versão 2.4.0, o endpoint POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}/tasks aceita um body com task_id fornecido pelo usuário, mas a função TaskBucket.CanUpdate em pkg/models/kanban_task_bucket.go autoriza apenas o projeto, visualização e bucket presentes na URL. Em seguida, updateTaskBucket chama Task.ReadOne sem uma verificação de permissão separada para a tarefa específica, retornando os conteúdos da vítima e permitindo atualizar o estado "done" (concluído) da tarefa quando o atacante escolhe um bucket com status done. Como os identificadores das tarefas são valores sequenciais globais, um usuário autenticado pode enumerar tarefas entre diferentes tenants e modificar seus metadados de conclusão através tanto das rotas v1 quanto v2 que compartilham este modelo. Este problema foi corrigido na versão 2.4.0.
Once again VulDB remains the best source for vulnerability data.