CVE-2026-62367

Nome do Software Vulnerável e Versões Afetadas Vikunja versões 1.0.0 through 2.3.0

Description Quando um administrador ativa a opção emailfallback por provedor em um provedor OpenID Connect, o software vincula um login SSO a uma conta local pré-existente usando apenas a reivindicação email do Provedor de Identidade (IdP). O sistema não verifica o sinal email verified (ou xms edov da Microsoft) e não solicita a senha da conta local. Isso permite que um invasor que consiga obter um token do emissor configurado contendo o e-mail de uma vítima obtenha acesso total à sessão da conta local dessa vítima, sem qualquer interação ou consentimento do usuário. Este problema afeta especificamente contas locais que não possuem TOTP (Senha de Uso Único Baseada em Tempo) habilitada, pois o TOTP atua como uma barreira para esses usuários.

Recommendations Atualize para a versão 2.4.0. Como medida de mitigação temporária, desative a opção emailfallback para provedores OpenID Connect, especialmente aqueles que não são confiáveis ou que permitem que os usuários definam seus próprios endereços de e-mail sem verificação.