PT-2026-139809
CVE-2026-123528
·
تاريخ النشر
2026-11-08
·
تاريخ التحديث
2026-11-08
الوصف من
CVSS 4.0
7.6
عاليةالمقاييسAV:N/AC:H/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
Vikunja الإصدارات السابقة لـ 2.7.1
Description
يحدث انتهاء صلاحية غير كافٍ للجلسة لأن
SetupTokenMiddleware يتجاوز فحوصات الجلسة وحالة الحساب الضرورية. يسمح هذا لحاملي رموز الوصول الملغاة بالاستمرار في المصادقة. يمكن للمهاجم الذي يمتلك رمزًا مسروقًا الحفاظ على وصول مستمر من خلال إنشاء جلسات OAuth عبر نقطة النهاية '/oauth/authorize' أو استخدام رموز API من نوع tk حتى بعد تسجيل الخروج أو إعادة تعيين كلمة المرور أو تعطيل الحساب.Recommendations
التحديث إلى الإصدار 2.7.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾