PT-2026-139805

CVE-2026-123524

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 4.0

6.9

Média

MétricasAV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Vikunja versões 0.23.0 through 2.7.0

Description Existe um problema de divulgação de informações onde colaboradores de projetos com acesso de escrita podem ler tarefas de projetos inacessíveis ao registrar webhooks. Isso ocorre porque as cargas úteis (payloads) do webhook são construídas usando as permissões do usuário que dispara o evento. Consequentemente, quando outro usuário modifica uma tarefa vinculada, invasores podem obter títulos, descrições e metadados de related tasks de projetos privados.

Recommendations Atualize para a versão 2.7.1.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-863: Incorrect Authorization

Identificadores relacionados

CVE-2026-123524