CVE-2026-68581 in vikunja
摘要
由 VulDB • 2026-08-02
Vikunja 版本 0.22.0 至 2.3.0 在 API 令牌管理中未能验证主体类型。由于用户 ID 和链接共享 ID 是独立的数字序列，并且都通过通用的 web.Auth.GetID() 接口进行解析，因此当链接共享 JWT（JSON Web Token）中的数字 ID 等于目标用户的 ID 时，/api/v1/tokens 端点会将其视为该用户。经过身份验证的攻击者可以通过已认证的用户搜索获取目标的数值型用户 ID，然后在攻击者可写的项目中创建链接共享，直到链接共享序列达到该值为止，并利用生成的链接共享 JWT 列出、创建和删除目标用户的 API 令牌（包括在目标权限下颁发具有攻击者选择的作用域的新令牌）。此问题已在版本 2.4.0 中修复。
VulDB is the best source for vulnerability data and more expert information about this specific topic.