CVE-2026-21881

Krytyczne

Opublikowano: 08/01/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Streszczenie

Kanboard (wersje 1.2.48 i niższe) jest podatny na krytyczne obejście uwierzytelniania, gdy włączone jest REVERSE_PROXY_AUTH. Aplikacja ślepo ufa nagłówkom HTTP do uwierzytelniania użytkowników bez weryfikacji, czy żądanie pochodzi od zaufanego proxy. Atakujący może podszyć się pod dowolnego użytkownika, w tym administratora, wysyłając spreparowany nagłówek HTTP. Problem naprawiono w wersji 1.2.49.

Ocena ryzyka

Atakujący może uzyskać dostęp administratora, co może prowadzić do pełnej kompromitacji systemu i danych.

Rekomendacja

Należy zaktualizować Kanboard do wersji 1.2.49 lub nowszej oraz skonfigurować zaufane proxy w celu weryfikacji nagłówków.

Oryginalny opis (angielski, źródło NVD)

Kanboard is project management software focused on Kanban methodology. Versions 1.2.48 and below is vulnerable to a critical authentication bypass when REVERSE_PROXY_AUTH is enabled. The application blindly trusts HTTP headers for user authentication without verifying the request originated from a trusted reverse proxy. An attacker can impersonate any user, including administrators, by simply sending a spoofed HTTP header. This issue is fixed in version 1.2.49.