CVE-2025-71433

WysokieCVSS 7.5

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.57%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

Kaneo w wersji przed 2.1.6 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom uzyskać dostęp do innych przestrzeni roboczych, podając identyfikatory projektów, zadań, etykiet lub przestrzeni roboczych do tras API pozbawionych kontroli członkostwa. Atakujący, którzy zdobędą identyfikatory, na przykład z udostępnionych linków do projektów, mogą czytać projekty i zadania, modyfikować lub usuwać zadania, etykiety i komentarze oraz przeszukiwać zawartość przestrzeni roboczej.

Ocena ryzyka

Uwierzytelniony użytkownik może uzyskać dostęp do danych innych przestrzeni roboczych, naruszając izolację danych i poufność. Może również modyfikować lub usuwać cudze zadania, etykiety i komentarze.

Rekomendacja

Zaktualizuj Kaneo do wersji 2.1.6 lub nowszej. Wprowadź kontrole członkostwa w trasach API dla projektów, zadań, etykiet i przestrzeni roboczych.

Inne podatności w Kaneo

CVE-2026-63104Wysokie
Kaneo w wersjach od 2.3.12 do 2.12.2 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym członkom przestrzeni roboczej z rolami viewer lub member na usuwanie i modyfikowanie zadań poza przydzielonymi uprawnieniami poprzez wykorzystanie punktu końcowego masowych zadań, który pomija sprawdzanie uprawnień przestrzeni roboczej. Atakujący mogą wysyłać żądania do punktu końcowego PATCH /api/task/bulk, który weryfikuje jedynie członkostwo w przestrzeni roboczej bez wywoływania kontroli uprawnień opartej na rolach, aby trwale usunąć wszystkie zadania lub zmodyfikować ich status, priorytet, osobę przypisaną, termin i etykiety.

Oryginalny opis (angielski, źródło NVD)

Kaneo before 2.1.6 contains a missing authorization vulnerability that allows authenticated users to access other workspaces by supplying project, task, label or workspace identifiers to API routes lacking membership checks. Attackers who obtain identifiers, for example from shared project links, can read projects and tasks, modify or delete tasks, labels and comments, and search workspace contents.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS