CVE-2026-55064

Nome do Software Vulnerável e Versões Afetadas Vikunja versões 2.3.0 through 2.3.0-246-9852aff4

Description Um usuário com permissão de Escrita (Write), mas não de Administrador (Admin), em um projeto filho compartilhado pode desvinculá-lo de sua hierarquia pai. Isso é possível ao enviar o valor 0 para a variável parent project id no endpoint POST '/api/v1/projects/{project}'. O problema ocorre porque a verificação de autorização em Project.CanUpdate() (em pkg/models/project permissions.go) e a lógica em UpdateProject() (em pkg/models/project.go) validam apenas valores de pai diferentes de zero. Como a função UpdateProject() sempre persiste a variável parent project id, um valor zero explícito ignora a exigência de permissão de Administrador. Essa ação interrompe a cadeia de herança de permissões por Expressão de Tabela Comum (CTE) recursiva—um método usado para determinar direitos de acesso percorrendo a hierarquia do projeto para cima—o que pode desorganizar a estrutura do proprietário e fazer com que outros colaboradores percam o acesso herdado.

Recommendations Atualizar para a versão 2.4.0.