CVE-2026-55064
Təsvir
Vikunja açıq mənbəli və öz serverində quraşdırılan tapşırıqların idarəetmə platformasıdır. Versiya 2.3.0-dan 2.4.0-a qədər, paylaşılan alt layihədə Yazma (Write), lakin Administrator (Admin) icazəsi olmayan istifadəçi, POST /api/v1/projects/{project} sorğusuna parent_project_id parametrini 0 olaraq göndərməklə həmin layihəni valideyn iyerarxiyasından ayıra bilər. pkg/models/project_permissions.go faylındakı Project.CanUpdate avtorizasiya yoxlaması və pkg/models/project.go faylındakı UpdateProject məntiqi yalnız sıfırdan fərqli valideyn dəyərlərini məhdudlaşdırır, UpdateProject isə hər zaman parent_project_id dəyərini saxlayır; buna görə də aşkar şəkildə təyin edilmiş sıfır dəyəri CVE-2026-35595 üçün tətbiq edilən Admin tələbini yan keçir. Ayırma prosesi rekursiv icazə-varislik zəncirini qırır və sahibinin iyerarxiyasına, həmçinin varis alınan əməkdaş girişinə mane ola bilər. Bu problem 2.4.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- code.vikunja.io/api2.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| code.vikunja.io/apiGo | 2.3.0 ≤ v < 2.4.0, Aralıq göstərilməyib | 2.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.