PT-2026-116491
CVE-2026-111922
·
تاريخ النشر
2026-10-09
·
تاريخ التحديث
2026-10-19
الوصف من
CVSS 4.0
7.2
عاليةالمقاييسAV:L/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Vikunja الإصدارات من 2.2.0 إلى 2.6.9
Description
يحتوي البرنامج على تكوين مشاركة الموارد عبر الأصول (CORS) متساهل يثق في جميع المنافذ على localhost و 127.0.0.1 مع بيانات الاعتماد، بغض النظر عن إعداد
service.publicurl. يسمح هذا للمهاجم الذي يتحكم في صفحة على أي منفذ localhost بإرسال طلب ببيانات اعتماد إلى نقطة نهاية تحديث الرمز وقراءة رمز JSON Web Token (JWT) الحامل، وهو وسيلة مدمجة وآمنة لنقل المطالبات بين طرفين، مما يؤدي إلى الاستيلاء الكامل على حساب المستخدم المسجل دخوله.Recommendations
تحديث Vikunja إلى الإصدار 2.7.0 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾