PT-2026-116491 · Vikunja · Vikunja
CVSS v4.0
7.2
عالية
| المتجه | AV:L/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
Vikunja الإصدارات من 2.2.0 إلى 2.6.9
Description
يحتوي البرنامج على تكوين مشاركة الموارد عبر الأصول (CORS) متساهل يثق في جميع المنافذ على localhost و 127.0.0.1 مع بيانات الاعتماد، بغض النظر عن إعداد
service.publicurl. يسمح هذا للمهاجم الذي يتحكم في صفحة على أي منفذ localhost بإرسال طلب ببيانات اعتماد إلى نقطة نهاية تحديث الرمز وقراءة رمز JSON Web Token (JWT) الحامل، وهو وسيلة مدمجة وآمنة لنقل المطالبات بين طرفين، مما يؤدي إلى الاستيلاء الكامل على حساب المستخدم المسجل دخوله.Recommendations
تحديث Vikunja إلى الإصدار 2.7.0 أو أحدث.
استغلال
إصلاح
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Vikunja