CVE-2026-63104

WysokieCVSS 8.1

Opublikowano: 22/09/2026(UTC)Zaktualizowano: 22/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.49%

Percentyl 41 - wyżej niż 41% wszystkich znanych CVE

Streszczenie

Kaneo w wersjach od 2.3.12 do 2.12.2 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionym członkom przestrzeni roboczej z rolami viewer lub member na usuwanie i modyfikowanie zadań poza przydzielonymi uprawnieniami poprzez wykorzystanie punktu końcowego masowych zadań, który pomija sprawdzanie uprawnień przestrzeni roboczej. Atakujący mogą wysyłać żądania do punktu końcowego PATCH /api/task/bulk, który weryfikuje jedynie członkostwo w przestrzeni roboczej bez wywoływania kontroli uprawnień opartej na rolach, aby trwale usunąć wszystkie zadania lub zmodyfikować ich status, priorytet, osobę przypisaną, termin i etykiety.

Ocena ryzyka

Użytkownicy o niskich uprawnieniach mogą modyfikować lub usuwać zadania, do których nie powinni mieć dostępu, co prowadzi do utraty danych i naruszenia integralności projektu.

Rekomendacja

Należy zaktualizować Kaneo do wersji 2.12.2 lub nowszej, która naprawia tę podatność.

Inne podatności w Kaneo

CVE-2025-71433Wysokie
Kaneo w wersji przed 2.1.6 zawiera lukę braku autoryzacji, która pozwala uwierzytelnionym użytkownikom uzyskać dostęp do innych przestrzeni roboczych, podając identyfikatory projektów, zadań, etykiet lub przestrzeni roboczych do tras API pozbawionych kontroli członkostwa. Atakujący, którzy zdobędą identyfikatory, na przykład z udostępnionych linków do projektów, mogą czytać projekty i zadania, modyfikować lub usuwać zadania, etykiety i komentarze oraz przeszukiwać zawartość przestrzeni roboczej.

Oryginalny opis (angielski, źródło NVD)

Kaneo versions 2.3.12 before 2.12.2 contain a missing authorization vulnerability that allows authenticated workspace members with viewer or member roles to delete and modify tasks beyond their assigned permissions by exploiting the bulk task endpoint that omits workspace permission checks. Attackers can send requests to the PATCH /api/task/bulk endpoint, which verifies only workspace membership without calling the role-based permission check enforced on all other task endpoints, to permanently delete all tasks or modify task status, priority, assignee, due date, and labels in a workspace.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS