CVE-2026-55064 in Vikunja
Tóm tắt
Bởi VulDB • 29/08/2026
Vikunja là một nền tảng quản lý tác vụ mã nguồn mở, tự lưu trữ (self-hosted). Từ phiên bản 2.3.0 đến 2.4.0, người dùng có quyền Write nhưng không có quyền Admin trên một dự án con được chia sẻ có thể tách nó khỏi cấu trúc cha mẹ bằng cách gửi giá trị parent_project_id bằng 0 vào POST /api/v1/projects/{project}. Kiểm tra ủy quyền Project.CanUpdate trong pkg/models/project_permissions.go và logic UpdateProject trong pkg/models/project.go chỉ chặn các giá trị khác không, trong khi UpdateProject luôn lưu trữ parent_project_id; do đó, việc sử dụng rõ ràng giá trị zero đã bỏ qua yêu cầu Admin được giới thiệu cho CVE-2026-35595. Việc tách dự án làm đứt gãy chuỗi kế thừa phân quyền đệ quy và có thể gây gián đoạn cấu trúc của chủ sở hữu cũng như quyền truy cập của các cộng tác viên được kế thừa. Vấn đề này đã được sửa chữa trong phiên bản 2.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.