CVE-2026-35595
Təsvir
Vikunja açıq mənbəli və öz serverində quraşdırılan tapşırıqların idarə edilməsi platformasıdır. Versiya 2.3.0-a qədər, `parent_project_id` dəyişdirilərkən `pkg/models/project_permissions.go:139-148` faylındakı `CanUpdate` yoxlaması yalnız yeni valideyn layihəsi üzərində `CanWrite` hüququnun olmasını tələb edir. Lakin Vikunjanın icazə modeli, icazələri hesablamaq üçün layihə iyerarxiyasını yuxarıya doğru izləyən rekursiv CTE istifadə edir. Layihənin fərqli bir valideyn altına köçürülməsi icazələrin irsiyyət zəncirini dəyişir. İstifadəçi (valideyn layihəsinin paylaşımı vasitəsilə) irsi Yazma (`Write`) girişinə malik olduqda və alt layihəni öz layihə ağacı altına köçürdükdə, CTE yeni valideyn üzərindəki mülkiyyət hüququnu köçürülmüş layihə üçün Admin (icazə səviyyəsi 2) kimi müəyyən edir. Bu boşluq 2.3.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- vikunja vikunja2.3.0 və ya daha yeni versiya
- code.vikunja.io/api2.3.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vikunja vikunja | v < 2.3.0 | 2.3.0 |
| code.vikunja.io/apiGo | v < 2.3.0, Aralıq göstərilməyib | 2.3.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.