Jellowbeanz26

**Nome do Software Vulnerável e Versões Afetadas** Vikunja versões anteriores a 2.6.0 **Description** Usuários autenticados podem causar a negação de serviço ao fazer upload de imagens especialmente manipuladas para os endpoints de upload de avatar e plano de fundo de projeto. O software falha ao aplicar limites de decodificação de pixels, permitindo que imagens com proporções extremas consumam CPU e memória excessivas durante o processamento. Isso pode ser desencadeado por uploads repetidos ou simultâneos. **Recommendations** Atualize para a versão 2.6.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vikunja versões anteriores a 2.6.0 **Description** Os endpoints de autenticação pública em `/api/v2`, incluindo as rotas de login, registro, redefinição de senha e token OAuth, não implementam limitação de taxa (rate limiting). Isso permite que atacantes remotos não autenticados executem tentativas ilimitadas de adivinhação de credenciais, enumeração de contas e ataques de inundação de redefinição de senha sem restrições de controle. **Recommendations** Atualize para a versão 2.6.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vikunja versões anteriores a 2.6.0 **Description** Existe uma falha de bypass de autenticação em endpoints CalDAV BasicAuth que carecem de proteção de limitação de taxa (rate limiting). Atacantes remotos não autenticados podem realizar requisições ilimitadas de adivinhação de credenciais contra os endpoints '/dav', '/.well-known' e '/feeds' para contornar os controles anti-brute-force da instância e comprometer contas que utilizam apenas senha. **Recommendations** Atualize para a versão 2.6.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vikunja versões anteriores a 2.6.0 **Description** Usuários autenticados podem causar a negação de serviço durante a importação de dados porque o sistema falha em limitar a expansão de arquivos compactados. Um invasor pode fazer o upload de arquivos altamente compactados que se expandem para dezenas de gigabytes na memória e no disco, exaurindo os recursos do servidor e travando a instância. **Recommendations** Atualize para a versão 2.6.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vikunja versões anteriores a 2.6.0 **Description** Atacantes autenticados podem inserir linhas de posição de tarefa em visualizações de projeto pertencentes a outros locatários. Isso ocorre porque a aplicação falha ao validar se o `project view id` fornecido pelo usuário em solicitações de posição de tarefa pertence ao projeto associado à tarefa. O problema afeta os endpoints POST e PUT de task-position. **Recommendations** Atualize para a versão 2.6.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Vikunja versões anteriores a 2.6.0 **Descrição** A restrição de acesso insuficiente ao campo de hash de compartilhamento de link em endpoints de leitura de compartilhamento único permite que membros com permissão apenas de leitura obtenham a credencial secreta de um compartilhamento. Um invasor pode usar esse hash divulgado para obter um JWT (JSON Web Token) de compartilhamento de link, que é um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes. Isso permite que o invasor escale privilégios e execute ações administrativas ou gravações não autorizadas. **Recomendações** Atualize para a versão 2.6.0 ou posterior.