CVE-2026-62367 in Vikunja
Sumário
de VulDB • 09/10/2026
Vikunja é uma plataforma de gerenciamento de tarefas open-source e auto-hospedada. Nas versões 1.0.0 até 2.3.0, quando um administrador habilita a opção `emailfallback` por provedor em um provedor OpenID Connect, o Vikunja vincula um login SSO a uma conta local pré-existente (nome de usuário + senha) usando apenas a afirmação (`claim`) `email` do IdP. O fallback nunca verifica um sinal `email_verified` (ou `xms_edov` da Microsoft) e nunca exige a senha da conta correspondente. Um atacante que consiga obter um token do emissor configurado contendo o email de uma vítima pode fazer login como essa vítima com uma sessão completa, sem consentimento ou interação por parte da vítima. A versão 2.4.0 corrige o problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.