CVE-2026-76216
WysokieCVSS 7.5Streszczenie
Vikunja do wersji 2.4.0 zawiera podatność polegającą na pomyleniu typów podmiotów (principal-type confusion), gdzie podmioty LinkSharing z identyfikatorem N są traktowane jak podmioty użytkowników z users.id == N w trzech kontrolach uprawnień pozbawionych sprawdzenia typu. Atakujący z JWT link-share może usuwać ofiary z zespołów, wyliczać i usuwać boty użytkowników ofiar lub czytać listy zespołów, wykorzystując kolizje identyfikatorów w przestrzeni autoincrement.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do danych i manipulacji kontami użytkowników w Vikunja, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj Vikunja do wersji, która zawiera poprawkę. Ogranicz dostęp do linków udostępniania i monitoruj aktywność pod kątem nietypowych operacji.
Oryginalny opis (angielski, źródło NVD)
Vikunja through 2.4.0 contains a principal-type confusion vulnerability where LinkSharing principals with id N are treated as user principals with users.id == N at three permission checks lacking type guards. Attackers with a link-share JWT can remove victims from teams, enumerate and delete victim bot users, or read team rosters by exploiting id collisions in the autoincrement space.