PT-2026-139809

CVE-2026-123528

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 4.0

7.6

Alta

MétricasAV:N/AC:H/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Vikunja versões anteriores a 2.7.1

Description Ocorre uma expiração de sessão insuficiente porque o SetupTokenMiddleware ignora as verificações necessárias de sessão e status da conta. Isso permite que portadores de tokens de acesso revogados continuem a se autenticar. Um invasor com um token roubado pode manter acesso persistente criando sessões OAuth através do endpoint '/oauth/authorize' ou usando tokens de API tk , mesmo após um logout, redefinição de senha ou desativação da conta.

Recommendations Atualize para a versão 2.7.1.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-613: Insufficient Session Expiration

Identificadores relacionados

CVE-2026-123528