PT-2026-139787
CVE-2026-123506
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
5.4
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
Vikunja الإصدارات من 2.2.0 إلى 2.7.0
Description
يوجد خلل في تجاوز الصلاحيات يسمح للمستخدمين الذين يمتلكون رموزاً (tokens) مقتصرة على projects webhooks بإدارة webhooks على مستوى المستخدم الخاصة بالمالك. يتم ذلك عن طريق تزويد المتغير
user id في أجسام الطلبات. يمكن للمهاجم تسجيل webhooks المستخدم على المستقبل الخاص به للحصول على التذكيرات وحمولات المهام من جميع مشاريع المالك، بالإضافة إلى قراءة أو تغيير أو حذف webhooks المستخدم الموجودة.Recommendations
التحديث إلى الإصدار 2.7.1.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾