CVE-2026-59097
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Taiga przed wersją 6.10.2 zawiera lukę braku autoryzacji, która pozwala nieuwierzytelnionym zdalnym atakującym na tworzenie domyślnych rekordów terminów w dowolnym projekcie. Atak następuje poprzez wykorzystanie niezabezpieczonych endpointów POST w widokach API dla historyjek użytkownika, zadań i zgłoszeń.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może zakłócić proces zarządzania terminami w projektach, uniemożliwiając administratorom inicjalizację domyślnych terminów. Może to prowadzić do chaosu organizacyjnego i utraty kontroli nad harmonogramem zadań.
Rekomendacja
Należy niezwłocznie zaktualizować Taigę do wersji 6.10.2 lub nowszej, która zawiera poprawkę usuwającą lukę. Dodatkowo warto przejrzeć konfigurację uprawnień dla endpointów API związanych z terminami.
Inne podatności w Taiga
Zobacz wszystkie- CVE-2026-65055Średnie
Podatność w Taiga 6.10.1 polegająca na braku autoryzacji w endpointach filters_data API. Nieuwierzytelniony atakujący może ujawnić pełną listę członków i konfigurację przepływu pracy prywatnych projektów, podając ID projektu.
- CVE-2025-62367Średnie
Taiga, platforma open source do zarządzania projektami, w wersjach 6.8.3 i wcześniejszych jest podatna na czasową ślepą iniekcję SQL, umożliwiającą ujawnienie wrażliwych danych poprzez analizę czasu odpowiedzi. Problem został naprawiony w wersji 6.9.0.
Oryginalny opis (angielski, źródło NVD)
Taiga before 6.10.2 contains a missing authorization vulnerability that allows unauthenticated remote attackers to create default due-date records in any project by exploiting unprotected POST endpoints on the user-story, task, and issue due-date API viewsets. Attackers can supply an arbitrary project identifier to these endpoints, which bypass permission checks and apply the AllowAny default, to pre-empt project administrators from initializing due dates by creating records before they can do so themselves.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS