CVE-2026-54766
Təsvir
Vikunja açıq mənbəli və öz serverində quraşdırılan tapşırıqların idarə edilməsi platformasıdır. 0.21.0 versiyasından 2.4.0 versiyasına qədər, pkg/models/project_duplicate.go faylındakı layihənin dublikatının yaradılması əməliyyatı, mənbə layihəsini oxuya bilən autentifikasiya olunmuş istifadəçiyə onun dublikatını ixtiyari hədəf valideyn layihəsinin altına yerləşdirməyə imkan verir. ProjectDuplicate.CanCreate funksiyası parent.CanWrite funksiyasını çağırmaq əvəzinə, yalnız təmin edilmiş parent_project_id gövdəsini ehtiva edən hidrasiya olunmamış Project üzərində parent.CanCreate funksiyasını çağırır, buna görə də hədəf valideyn üçün yazı icazəsinin yoxlanılması ötürülür. Adi layihə yaratma yolu bu icazəni tətbiq edir, lakin PUT /api/v1/projects/{project}/duplicate sorğusu bunu etmir və hücumçuya məxsus məzmunun digər istifadəçi və ya komanda layihə iyerarxiyasına yerləşdirilməsinə şərait yaradır. Bu problem 2.4.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- code.vikunja.io/api2.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| code.vikunja.io/apiGo | 0.21.0 ≤ v < 2.4.0, 0.21.0 ≤ v | 2.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.