CVE-2026-68581 in vikunja
Сводка
по VulDB • 03.08.2026
В версиях Vikunja от 0.22.0 до 2.3.0 отсутствует проверка типа субъекта при управлении токенами API. Поскольку идентификаторы пользователей и идентификаторы общего доступа по ссылке представляют собой независимые числовые последовательности, которые оба обрабатываются через общий интерфейс web.Auth.GetID(), JWT для общей ссылки с числовым ID, совпадающим с целевым пользовательским ID, будет воспринят системой как этот пользователь со стороны конечных точек /api/v1/tokens. Атакующий, прошедший аутентификацию, может получить числовой идентификатор пользователя цели через поиск пользователей (требующий аутентификации), затем создавать общие ссылки на проекте, доступном для записи атакующим, пока последовательность общих ссылок не достигнет этого значения, и использовать полученный JWT общей ссылки для просмотра, создания и удаления токенов API целевого пользователя (включая выпуск нового токена с выбранными атакующим областями действия в рамках прав цели). Исправлено в версии 2.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.