CVE-2026-55066

Nome do Software Vulnerável e Versões Afetadas Vikunja versões anteriores a 2.4.0

Descrição Um usuário autenticado pode enumerar tarefas de diferentes locatários (tenants) e modificar seus metadados de conclusão. Isso ocorre porque o endpoint "/api/v1/projects/{project}/views/{view}/buckets/{bucket}/tasks" aceita um task id no corpo da requisição, mas a função TaskBucket.CanUpdate em pkg/models/kanban task bucket.go autoriza apenas o projeto, a visualização e o bucket especificados na URL. Subsequentemente, a função updateTaskBucket chama Task.ReadOne sem realizar uma verificação de permissão separada para a tarefa, permitindo o retorno do conteúdo da tarefa e a modificação do estado de conclusão da tarefa caso um bucket de conclusão seja selecionado. Este comportamento afeta as rotas v1 e v2 que compartilham este modelo, dado que os identificadores de tarefas são valores sequenciais globais.

Recomendações Atualizar para a versão 2.4.0.