CVE-2026-65055
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Podatność w Taiga 6.10.1 polegająca na braku autoryzacji w endpointach filters_data API. Nieuwierzytelniony atakujący może ujawnić pełną listę członków i konfigurację przepływu pracy prywatnych projektów, podając ID projektu.
Ocena ryzyka
Ryzyko ujawnienia poufnych informacji o członkach projektu i wewnętrznych procesach, co może naruszyć prywatność i bezpieczeństwo projektów.
Rekomendacja
Zaktualizuj Taigę do najnowszej wersji oraz wdróż mechanizmy autoryzacji dla endpointów filters_data.
Inne podatności w Taiga
Zobacz wszystkie- CVE-2026-59097Średnie
Taiga przed wersją 6.10.2 zawiera lukę braku autoryzacji, która pozwala nieuwierzytelnionym zdalnym atakującym na tworzenie domyślnych rekordów terminów w dowolnym projekcie. Atak następuje poprzez wykorzystanie niezabezpieczonych endpointów POST w widokach API dla historyjek użytkownika, zadań i zgłoszeń.
- CVE-2025-62367Średnie
Taiga, platforma open source do zarządzania projektami, w wersjach 6.8.3 i wcześniejszych jest podatna na czasową ślepą iniekcję SQL, umożliwiającą ujawnienie wrażliwych danych poprzez analizę czasu odpowiedzi. Problem został naprawiony w wersji 6.9.0.
Oryginalny opis (angielski, źródło NVD)
Taiga 6.10.1 contains a missing authorization vulnerability that allows unauthenticated attackers to disclose the full member roster and internal workflow configuration of any private project by supplying a project ID to the filters_data API endpoints on UserStory, Task, Issue, and Epic viewsets. Attackers can send unauthenticated GET requests to the filters_data endpoints with sequential integer project IDs to enumerate private project membership details including user IDs, full names, and gravatar hashes, bypassing the access controls that correctly restrict other project API endpoints.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS