PT-2026-139794
CVE-2026-123513
·
Publicado
2026-11-08
·
Atualizado
2026-11-08
Descrição por
CVSS 3.1
6.8
MédiaMétricasAV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Vikunja before 2.7.1 contains a credential exposure vulnerability that allows attackers to steal stored auth tokens by inducing users to switch the frontend API URL. Because checkAndSetApiUrl leaves origin-independent localStorage tokens in place, the bearer token and desktop OAuth refresh token are sent to the attacker's server, enabling account takeover.
Explorabilidade
Correção
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾