CVE-2026-123506

Nome do Software Vulnerável e Versões Afetadas Vikunja versões 2.2.0 through 2.7.0

Description Existe uma falha de bypass de autorização que permite que usuários com tokens limitados apenas a projects webhooks gerenciem webhooks de nível de usuário do proprietário. Isso é feito fornecendo a variável user id nos corpos das requisições. Um invasor pode registrar webhooks de usuário em seu próprio receptor para interceptar lembretes e payloads de tarefas de todos os projetos do proprietário, além de ler, alterar ou excluir webhooks de usuário existentes.

Recommendations Atualizar para a versão 2.7.1.