CVE-2026-33680
Təsvir
Vikunja açıq mənbəli və öz serverində quraşdırılan tapşırıqların idarə edilməsi platformasıdır. Versiya 2.2.2-dən əvvəlki versiyalarda `LinkSharing.ReadAll()` metodu link paylaşımı ilə autentifikasiya olunmuş istifadəçilərə layihə üçün bütün link paylaşımlarının, o cümlədən onların gizli heşlərinin siyahısını görməyə imkan verir. `LinkSharing.CanRead()` metodu link paylaşımı istifadəçilərinin `ReadOne` vasitəsilə fərdi paylaşımları oxumasını düzgün şəkildə bloklasa da, `ReadAllWeb` idarəedicisi `CanRead()` metodunu heç vaxt çağırmayaraq bu yoxlamanı yan keçir. Yalnız oxuma hüququ olan link paylaşımına malik hücumçu eyni layihədə yazma və ya admin link paylaşımlarının heşlərini əldə edib onlar vasitəsilə autentifikasiya oluna və tam admin girişinə qədər imtiyazlarını yüksəldə bilər. Versiya 2.2.2 bu problemi aradan qaldırır.
Necə düzəltmək olar
- vikunja vikunja2.2.2 və ya daha yeni versiya
- code.vikunja.io/api2.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vikunja vikunja | v < 2.2.2 | 2.2.2 |
| code.vikunja.io/apiGo | v < 2.2.2, Aralıq göstərilməyib | 2.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.