PT-2026-57178 · Vikunja · Vikunja

Offset · Publicado 2026-07-10 · Atualizado 2026-07-10 · CVE-2026-56765

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Vikunja versões anteriores a 2.2.1

Description Existem duas falhas de autorização encadeadas no software. O endpoint 'LinkSharing.ReadAll' expõe hashes de compartilhamento para usuários com acesso de leitura, permitindo a escalada de permissões para compartilhamentos de nível de administrador. Além disso, o endpoint 'GetTaskAttachment' realiza verificações de permissão em relação a um ID de tarefa fornecido pelo usuário, mas recupera anexos usando IDs sequenciais sem verificar a propriedade. Isso permite que um invasor enumere IDs sequenciais para baixar e excluir todos os anexos de arquivos em todos os projetos de toda a instância, resultando em uma violação total de dados.

Recommendations Atualizar para a versão 2.2.1.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-56765

Produtos afetados

Vikunja

Referências · 6

• 🔥 https://github.com/go-vikunja/vikunja/security/advisories/GHSA-2pv8-4c52-mf8j · Exploit
• https://twitter.com/UpwindMDR/status/2075627760236839420 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-56765 · Nota de Segurança
• https://twitter.com/UpwindMDR/status/2075609865834344520 · Publicação no Twitter
• https://twitter.com/OrizonCyber/status/2075603482627752434 · Publicação no Twitter
• https://vulncheck.com/advisories/vikunja-unauthenticated-instance-wide-data-breach-via-link-share-hash-disclosure-chained-with-cross-project-attachment-idor · Nota