PT-2026-139811

CVE-2026-123530

Publicado

2026-11-08

Atualizado

2026-11-08

Descrição por

CVSS 4.0

6.0

Média

MétricasAV:N/AC:H/AT:P/PR:L/UI:N/VC:N/VI:L/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Vikunja versões anteriores a 2.7.1

Descrição Uma falha de autenticação permite que um invasor com uma sessão roubada registre e ative a autenticação de senha de uso único baseada no tempo (TOTP) sem fornecer a senha da conta. Ao chamar os endpoints de registro e ativação de TOTP com um segredo de sua escolha, um invasor pode bloquear o proprietário legítimo da conta. Essa persistência permanece mesmo após a redefinição da senha da conta.

Recomendações Atualize para a versão 2.7.1 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-306: Missing Authentication for Critical Function

Identificadores relacionados

CVE-2026-123530