CVE-2026-111922

Nome do Software Vulnerável e Versões Afetadas Vikunja versões 2.2.0 through 2.6.9

Description O software possui uma configuração permissiva de Cross-Origin Resource Sharing (CORS) que confia em todas as portas no localhost e 127.0.0.1 com credenciais, independentemente da configuração service.publicurl. Isso permite que um invasor que controle uma página em qualquer porta do localhost envie uma solicitação com credenciais para o endpoint de atualização de token e recupere o bearer JSON Web Token (JWT), que é um meio compacto e seguro para URLs de representar reivindicações a serem transferidas entre duas partes, resultando na tomada total da conta do usuário conectado.

Recommendations Atualize o Vikunja para a versão 2.7.0 ou posterior.