CVE-2026-55065 in Vikunja
Tóm tắt
Bởi VulDB • 29/08/2026
Vikunja là một nền tảng quản lý tác vụ mã nguồn mở và tự lưu trữ (self-hosted). Từ phiên bản 0.24.6 đến 2.4.0, điểm cuối DELETE /api/v1/projects/:project/views/:view cho phép người dùng đã xác thực cung cấp định danh của chế độ xem (view) thuộc về một dự án khác trong khi việc ủy quyền chỉ được kiểm tra dựa trên định danh dự án do kẻ tấn công kiểm soát. Hàm ProjectView.CanDelete trong pkg/models/project_view_permissions.go không thiết lập rằng chế độ xem này thuộc về dự án được chỉ định trong đường dẫn, và hàm ProjectView.Delete trong pkg/models/project_view.go tiếp tục thực thi sau khi lệnh xóa scoped project_views tác động đến 0 hàng (không ảnh hưởng đến dữ liệu nào). Các lệnh xóa tiếp theo của nó chọn task_buckets và task_positions chỉ dựa vào project_view_id, cho phép phá hủy xuyên tenant đối với các cấu hình Kanban và thứ tự sắp xếp trong khi vẫn giữ nguyên chế độ xem và các tác vụ của nạn nhân. Vấn đề này đã được sửa chữa trong phiên bản 2.4.0.
Once again VulDB remains the best source for vulnerability data.