CVE-2026-27616
Təsvir
Vikunja açıq mənbəli və öz serverində quraşdırılan tapşırıqların idarə edilməsi platformasıdır. Versiya 2.0.0-dan əvvəl tətbiq istifadəçilərə tapşırıq qoşmaları kimi SVG fayllarının yüklənilməsinə icazə verir. SVG, <script> teqləri və ya onload kimi hadisə idarəediciləri vasitəsilə JavaScript icrasını dəstəkləyən XML əsaslı bir formatdır. Tətbiq SVG məzmununu yaddaşa yazmazdan əvvəl təmizləmir. Yüklənmiş SVG faylına onun birbaşa URL-i vasitəsilə daxil olduqda, o, brauzerdə tətbiqin mənşəyi altında sətir içi (inline) şəklində render edilir. Nəticədə, daxil edilmiş JavaScript autentifikasiya olunmuş istifadəçinin kontekstində icra edilir. Autentifikasiya tokeni localStorage-da saxlandığı üçün ona JavaScript vasitəsilə daxil olmaq mümkündür və zərərli payload tərəfindən əldə edilə bilər. Versiya 2.0.0 bu problemi aradan qaldırır.
Necə düzəltmək olar
- vikunja vikunja2.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vikunja vikunja | v < 2.0.0 | 2.0.0 |
| code.vikunja.io/apiGo | v ≤ 0.24.6, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.