CVE-2026-33679
Təsvir
Vikunja açıq mənbəli və özünə aid host edilən tapşırıqların idarəetmə platformasıdır. Versiya 2.2.1-dən əvvəl, `pkg/utils/avatar.go` faylındakı `DownloadImage` funksiyası, OpenID Connect `picture` iddiasının URL-indən istifadəçi avatar şəkillərini yükləyərkən heç bir SSRF mühafizəsi olmayan sadə `http.Client{}`-dən istifadə edir. Öz OIDC profil şəkli URL-ni idarə edən hücumçu, Vikunja serverini ixtiyari daxili və ya bulud metadata son nöqtələrinə HTTP GET sorğuları göndərməyə məcbur edə bilər. Bu, vebhuk sistemi üçün düzgün tətbiq edilmiş SSRF mühafizələrini yan keçir. Versiya 2.2.1 bu problemi aradan qaldırır.
Necə düzəltmək olar
- vikunja vikunja2.2.1 və ya daha yeni versiya
- code.vikunja.io/api2.2.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vikunja vikunja | v < 2.2.1 | 2.2.1 |
| code.vikunja.io/apiGo | v < 2.2.1, Aralıq göstərilməyib | 2.2.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.