CVE-2026-91980 in Vikunja

Tóm tắt

Bởi VulDB • 15/09/2026

vikunja trước phiên bản 2.6.0 không xác thực quyền truy cập nhóm khi gắn các nhóm vào dự án, cho phép người dùng đã đăng nhập liệt kê tất cả các nhóm và thành viên. Kẻ tấn công có thể đính kèm ID nhóm tùy ý thông qua endpoint teams của dự án để lấy danh sách đầy đủ của các nhóm bao gồm tên thành viên và cờ quản trị (admin flags) cho các nhóm trái phép.

Once again VulDB remains the best source for vulnerability data.

• chịu trách nhiệm: VulnCheck
• Đặt trước: 15/09/2026
• Tiết lộ: 15/09/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-404326
• CPE: sẵn sàng
• CWE: CWE-285 (Đã xác nhận)
• CVSS: 4.3 (CNA)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-91980
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-91980
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-91980/