Vulnerabilidad en vikunja de go-vikunja (CVE-2026-68582)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
02/08/2026
Última modificación:
23/10/2026
Descripción
Las versiones de Vikunja >= 0.24.0 y menor o igual que 2.3.0 contienen una vulnerabilidad de autorización a nivel de objeto rota (BOLA) en el endpoint de recolección de tareas (GET /API/v1/projects/{project}/views/{view}/tasks). El endpoint carga la vista de proyecto solicitada desde la ruta URL sin verificar que el llamador esté autorizado para ello. Para un poseedor de token de enlace compartido, el alcance de la tarea está fijado al propio proyecto del recurso compartido, pero la vista se toma de la ruta controlada por el atacante y nunca se revalida. Como resultado, un poseedor de cualquier enlace de proyecto compartido puede leer los registros de cubos kanban de cualquier otro inquilino - títulos de cubo y el objeto de usuario completo created_by (nombre de usuario, nombre, id) - para cada vista en la instancia. La misma carga de vista de pre-autorización faltante también crea un oráculo de existencia de ID de proyecto/vista (404 vs. no-404) utilizable por enlaces compartidos y usuarios autenticados ordinarios. Los contenidos de las tareas permanecen restringidos al propio proyecto del recurso compartido y no se divulgan. Corregido en 2.4.0.
Impacto
Puntuación base 4.0
9.30
Gravedad 4.0
CRÍTICA
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA