PT-2026-139801
CVE-2026-123520
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
Vikunja الإصدارات من 0.18.0 إلى 2.7.0
Description
تسمح ثغرة تصعيد الصلاحيات لمالكي الفرق بالحصول على حقوق المسؤول أو ملكية المشاريع المشتركة للقراءة فقط. يمكن للمهاجم تحقيق ذلك عن طريق إنشاء بوت، وإضافته إلى فريقهم، ثم حذفه من خلال نقطة نهاية البوتات (bots endpoint). تؤدي هذه العملية إلى تشغيل الدالة
ensureProjectAdminUser()، والتي تقوم بترقية المشاركات للقراءة فقط وحظر المالك الحقيقي.Recommendations
التحديث إلى الإصدار 2.7.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾