CVE-2026-123528

Podatność w Vikunja przed wersją 2.2.1 umożliwia nieautoryzowany dostęp do skrótów udostępnień oraz pobieranie i usuwanie załączników plików w całej instancji. Błąd autoryzacji w endpointach LinkSharing.ReadAll i GetTaskAttachment pozwala na eskalację uprawnień do poziomu administratora.

Vikunja od wersji 1.0.0 przed 2.7.1 zawiera podatność na niekontrolowane zużycie zasobów, która pozwala uwierzytelnionym użytkownikom obejść limit service.maxitemsperpage poprzez wysyłanie page=0 do punktów końcowych listy /api/v1. Atakujący może samodzielnie się zarejestrować i wielokrotnie żądać page=0, wymuszając nieograniczone zapytania SQL, materializację pamięci i rozgałęzianie zapytań na wiersz, pogarszając dostępność dla innych użytkowników.

Vikunja w wersji przed 2.7.1 zawiera podatność polegającą na braku uwierzytelniania, która pozwala atakującym posiadającym skradzioną sesję na zarejestrowanie i włączenie TOTP bez hasła do konta. Atakujący mogą wywołać punkty końcowe rejestracji i włączenia TOTP z własnym sekretem, aby zablokować właściciela konta, co utrzymuje się nawet po resecie hasła.

Vikunja w wersji przed 2.7.1 zawiera podatność polegającą na przechowywanym wstrzyknięciu CSS, która pozwala uwierzytelnionym użytkownikom z uprawnieniami zapisu do projektu wstrzykiwać dowolny CSS poprzez nieoczyszczone atrybuty data-background-color komórek tabeli. Atakujący mogą przechowywać spreparowane opisy zadań lub komentarze, aby renderować nakładki phishingowe na cały widok lub wymuszać żądania tła bez kliknięcia, które deanonymizują przeglądających.

Vikunja od wersji 2.4.0 przed 2.7.1 zawiera podatność polegającą na obejściu autoryzacji, która pozwala posiadaczom tokenów na wykonywanie niezamierzonych operacji z powodu kolidujących kluczy uprawnień tokenów API v1 i v2. Atakujący z tokenem o zakresie odczytu teł projektów może je usunąć poprzez trasę DELETE tła w v2, a tokeny z uprawnieniem tylko do tworzenia bucketów mogą aktualizować istniejące buckety.

Vikunja przed wersją 2.7.1 zawiera podatność mass assignment, która pozwala każdemu uwierzytelnionemu użytkownikowi ustawić pole external_id (tylko do odczytu) poprzez endpointy tworzenia i aktualizacji zespołu. Atakujący może oznaczyć zespół, który tworzy lub administruje, jako zarządzany zewnętrznie, trwale blokując usuwanie członków i powodując usunięcie członków SSO przy następnym logowaniu.

Vikunja przed wersją 2.7.1 przydziela pamięć bez ograniczeń w importerach migracji Trello, Todoist i Microsoft To Do, które buforują pobierane zdalne załączniki i odpowiedzi API w pamięci bez limitów rozmiaru. Uwierzytelnieni użytkownicy mogą rozpocząć migrację odwołującą się do ogromnych załączników lub powodującą zbyt duże odpowiedzi API, wyczerpując pamięć i powodując awarię współdzielonego procesu API dla wszystkich dzierżawców.

Vikunja od wersji 0.23.0 przed 2.7.1 zawiera podatność ujawnienia informacji, która pozwala współpracownikom projektu z prawem zapisu odczytywać zadania z niedostępnych projektów poprzez rejestrowanie webhooków. Ponieważ ładunki webhooków są budowane z uprawnieniami użytkownika wyzwalającego, atakujący otrzymują tytuły, opisy i metadane related_tasks z prywatnych projektów, gdy inny użytkownik modyfikuje powiązane zadanie.

Vikunja przed wersją 2.7.1 zawiera podatność niekontrolowanego zużycia zasobów, która pozwala uwierzytelnionym użytkownikom wyczerpać pamięć serwera poprzez żądanie awatarów w wielu różnych rozmiarach. Atakujący mogą przesłać zaszumiony awatar i pobierać go w każdym rozmiarze do 1024, buforując około gigabajta na konto bez usuwania i powodując zabicie procesu API przez OOM.

Vikunja w wersjach przed 2.7.1 zawiera podatność na obejście autoryzacji, która pozwala uwierzytelnionym użytkownikom odczytać dowolne zadanie poprzez wstrzyknięcie spreparowanego obiektu zadania do przeniesienia w koszu Kanban bez operacji. Atakujący może ustawić task.id na zadanie ofiary i task.project_id na własny projekt, kierując pełną zawartość zadania do swojego webhooka i fałszując powiadomienia o wzmiankach.