CVE-2026-123530

Podatność w Vikunja przed wersją 2.2.1 umożliwia nieautoryzowany dostęp do skrótów udostępnień oraz pobieranie i usuwanie załączników plików w całej instancji. Błąd autoryzacji w endpointach LinkSharing.ReadAll i GetTaskAttachment pozwala na eskalację uprawnień do poziomu administratora.

Vikunja od wersji 1.0.0 przed 2.7.1 zawiera podatność na niekontrolowane zużycie zasobów, która pozwala uwierzytelnionym użytkownikom obejść limit service.maxitemsperpage poprzez wysyłanie page=0 do punktów końcowych listy /api/v1. Atakujący może samodzielnie się zarejestrować i wielokrotnie żądać page=0, wymuszając nieograniczone zapytania SQL, materializację pamięci i rozgałęzianie zapytań na wiersz, pogarszając dostępność dla innych użytkowników.

Vikunja w wersji przed 2.7.1 zawiera podatność polegającą na przechowywanym wstrzyknięciu CSS, która pozwala uwierzytelnionym użytkownikom z uprawnieniami zapisu do projektu wstrzykiwać dowolny CSS poprzez nieoczyszczone atrybuty data-background-color komórek tabeli. Atakujący mogą przechowywać spreparowane opisy zadań lub komentarze, aby renderować nakładki phishingowe na cały widok lub wymuszać żądania tła bez kliknięcia, które deanonymizują przeglądających.

Vikunja w wersji przed 2.7.1 zawiera podatność polegającą na niewystarczającym wygasaniu sesji, która pozwala posiadaczom unieważnionych tokenów dostępu na dalsze uwierzytelnianie, ponieważ SetupTokenMiddleware pomija sprawdzanie sesji i statusu konta. Atakujący ze skradzionym tokenem może, po wylogowaniu, resecie hasła lub wyłączeniu konta, utworzyć sesje OAuth poprzez /oauth/authorize lub tokeny API tk_ w celu utrzymania trwałego dostępu.

Vikunja od wersji 2.4.0 przed 2.7.1 zawiera podatność polegającą na obejściu autoryzacji, która pozwala posiadaczom tokenów na wykonywanie niezamierzonych operacji z powodu kolidujących kluczy uprawnień tokenów API v1 i v2. Atakujący z tokenem o zakresie odczytu teł projektów może je usunąć poprzez trasę DELETE tła w v2, a tokeny z uprawnieniem tylko do tworzenia bucketów mogą aktualizować istniejące buckety.

Vikunja przed wersją 2.7.1 zawiera podatność mass assignment, która pozwala każdemu uwierzytelnionemu użytkownikowi ustawić pole external_id (tylko do odczytu) poprzez endpointy tworzenia i aktualizacji zespołu. Atakujący może oznaczyć zespół, który tworzy lub administruje, jako zarządzany zewnętrznie, trwale blokując usuwanie członków i powodując usunięcie członków SSO przy następnym logowaniu.

Vikunja przed wersją 2.7.1 przydziela pamięć bez ograniczeń w importerach migracji Trello, Todoist i Microsoft To Do, które buforują pobierane zdalne załączniki i odpowiedzi API w pamięci bez limitów rozmiaru. Uwierzytelnieni użytkownicy mogą rozpocząć migrację odwołującą się do ogromnych załączników lub powodującą zbyt duże odpowiedzi API, wyczerpując pamięć i powodując awarię współdzielonego procesu API dla wszystkich dzierżawców.

Vikunja od wersji 0.23.0 przed 2.7.1 zawiera podatność ujawnienia informacji, która pozwala współpracownikom projektu z prawem zapisu odczytywać zadania z niedostępnych projektów poprzez rejestrowanie webhooków. Ponieważ ładunki webhooków są budowane z uprawnieniami użytkownika wyzwalającego, atakujący otrzymują tytuły, opisy i metadane related_tasks z prywatnych projektów, gdy inny użytkownik modyfikuje powiązane zadanie.

Vikunja przed wersją 2.7.1 zawiera podatność niekontrolowanego zużycia zasobów, która pozwala uwierzytelnionym użytkownikom wyczerpać pamięć serwera poprzez żądanie awatarów w wielu różnych rozmiarach. Atakujący mogą przesłać zaszumiony awatar i pobierać go w każdym rozmiarze do 1024, buforując około gigabajta na konto bez usuwania i powodując zabicie procesu API przez OOM.

Vikunja w wersjach przed 2.7.1 zawiera podatność na obejście autoryzacji, która pozwala uwierzytelnionym użytkownikom odczytać dowolne zadanie poprzez wstrzyknięcie spreparowanego obiektu zadania do przeniesienia w koszu Kanban bez operacji. Atakujący może ustawić task.id na zadanie ofiary i task.project_id na własny projekt, kierując pełną zawartość zadania do swojego webhooka i fałszując powiadomienia o wzmiankach.