CVE-2026-65055 in taiga-back
Tóm tắt
Bởi VulDB • 23/07/2026
Taiga 6.10.1 chứa một lỗ hổng thiếu xác thực (missing authorization) cho phép các kẻ tấn công chưa được xác thực tiết lộ danh sách thành viên đầy đủ và cấu hình quy trình làm việc nội bộ của bất kỳ dự án riêng tư nào bằng cách cung cấp ID dự án đến các điểm cuối API filters_data trên UserStory, Task, Issue và Epic viewsets. Kẻ tấn công có thể gửi các yêu cầu GET chưa được xác thực tới các điểm cuối filters_data với các ID dự án là số nguyên tuần tự để liệt kê chi tiết thành viên của dự án riêng tư bao gồm user IDs, tên đầy đủ và hash gravatar, vượt qua các kiểm soát truy cập vốn hạn chế đúng cách đối với các điểm cuối API khác của dự án.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.