CVE-2026-58660
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Podatność w Kanboard do wersji 1.2.52 (załatana w commicie 564cc30) pozwala uwierzytelnionemu użytkownikowi będącemu członkiem co najmniej jednego projektu na przenoszenie (ukrywanie/uszkadzanie) zadań z dowolnego innego projektu, w tym prywatnych, do których nie ma dostępu. Problem leży w metodzie save() kontrolera BoardAjaxController, która nie weryfikuje, czy identyfikator zadania (task_id) faktycznie należy do projektu podanego przez atakującego (project_id).
Ocena ryzyka
Organizacja narażona jest na nieautoryzowaną manipulację zadaniami w całej instancji Kanboard, co może prowadzić do utraty danych, zakłócenia pracy zespołów oraz naruszenia poufności zadań prywatnych.
Rekomendacja
Należy natychmiast zaktualizować Kanboard do wersji zawierającej commit 564cc30 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do endpointu drag-and-drop poprzez reguły firewall lub wstrzymać korzystanie z funkcji przeciągania zadań.
Inne podatności w Kanboard
Zobacz wszystkie- CVE-2017-12851Wysokie
Użytkownik z uprawnieniami standardowymi mógł zresetować hasło administratora poprzez modyfikację danych formularza. Dotyczy wersji kanboard przed 1.0.46.
- CVE-2017-12850Wysokie
Użytkownik z uprawnieniami standardowymi mógł zresetować hasło innych użytkowników (w tym administratora) poprzez modyfikację danych formularza. Dotyczy wersji kanboard przed 1.0.46.
- CVE-2026-21881Krytyczne
Kanboard (wersje 1.2.48 i niższe) jest podatny na krytyczne obejście uwierzytelniania, gdy włączone jest REVERSE_PROXY_AUTH. Aplikacja ślepo ufa nagłówkom HTTP do uwierzytelniania użytkowników bez weryfikacji, czy żądanie pochodzi od zaufanego proxy. Atakujący może podszyć się pod dowolnego użytkownika, w tym administratora, wysyłając spreparowany nagłówek HTTP. Problem naprawiono w wersji 1.2.49.
- CVE-2026-57862Wysokie
Podatność SSRF w Kanboard 1.2.52 i wcześniejszych umożliwia uwierzytelnionym użytkownikom ominięcie ochrony SSRF poprzez podanie szesnastkowej notacji adresu IP w kontrolowanych przez użytkownika URL-ach, co pozwala na dostęp do wewnętrznych zasobów sieciowych, takich jak metadane instancji chmury czy usługi localhost.
- CVE-2026-56774Średnie
Podatność w Kanboard do wersji 1.2.52 (załatana w commicie 928c68a) pozwala uwierzytelnionym użytkownikom na usuwanie sesji Remember Me innych użytkowników. Funkcja UserViewController::removeSession nie waliduje identyfikatora sesji przed przekazaniem go do RememberMeSessionModel::remove.
- CVE-2023-36813Wysokie
Kanboard to oprogramowanie do zarządzania projektami, które koncentruje się na metodologii Kanban. W wersjach przed 1.2.31 uwierzytelniony użytkownik może przeprowadzić atak SQL Injection, co prowadzi do eskalacji uprawnień lub utraty poufności.
- CVE-2023-33970Średnie
W Kanboard, oprogramowaniu do zarządzania projektami, zidentyfikowano podatność związaną z brakiem kontroli dostępu. Użytkownik z najniższymi uprawnieniami może uzyskać dostęp do tytułów wszystkich zadań i projektów, nawet jeśli nie został zaproszony lub projekt jest osobisty.
- CVE-2023-33969Średnie
Kanboard to oprogramowanie do zarządzania projektami, które umożliwia atak XSS poprzez przechowywanie złośliwego kodu JavaScript w zadaniach. Użytkownicy, którzy wyświetlą takie zadanie, będą narażeni na atak XSS.
- CVE-2023-33968Średnie
Kanboard, oprogramowanie do zarządzania projektami, ma lukę w kontroli dostępu w wersjach przed 1.2.30. Umożliwia to użytkownikom z niskimi uprawnieniami tworzenie lub przenoszenie zadań do dowolnego projektu, nawet jeśli nie zostali zaproszeni lub projekt jest osobisty.
- CVE-2023-33956Średnie
Kanboard, oprogramowanie do zarządzania projektami, ma podatność na niebezpieczne bezpośrednie odniesienie do obiektów (IDOR) w wersjach przed 1.2.30. Umożliwia to każdemu użytkownikowi odczyt plików przesłanych przez innych użytkowników, niezależnie od ich uprawnień.
Oryginalny opis (angielski, źródło NVD)
Kanboard through 1.2.52, fixed in commit 564cc30, BoardAjaxController save() method (used by the kanban board drag-and-drop endpoint) validates the caller's role on the attacker-supplied project_id but never verifies that the supplied task_id actually belongs to that project. Because task identifiers are sequential integers shared across the entire instance, any authenticated user who is a member of at least one project can enumerate and move (corrupt/hide) tasks belonging to any other project on the same instance, including private projects they have no membership or role on.