CVE-2026-55066

Vikunja açıq mənbəli və öz serverində quraşdırılan tapşırıqların idarə edilməsi platformasıdır. Versiya 2.4.0-dan əvvəl, POST /api/v1/projects/{project}/views/{view}/buckets/{bucket}/tasks sorğusu gövdədə təqdim olunan task_id parametrini qəbul edir, lakin pkg/models/kanban_task_bucket.go faylındakı TaskBucket.CanUpdate yalnız URL-dəki layihəni (project), görünüşü (view) və səbəti (bucket) avtorizasiya edir. Daha sonra updateTaskBucket funksiyası ayrıca tapşırıq icazəsi yoxlaması olmadan Task.ReadOne funksiyasını çağırır, hədəf tapşırığın məzmununu qaytarır və hücum edən şəxs tamamlanmış səbəti seçdikdə tapşırığın yerinə yetirilmə statusunu yeniləyə bilir. Tapşırıq identifikatorları qlobal ardıcıl dəyərlər olduğu üçün autentifikasiyadan keçmiş istifadəçi bu modeli paylaşan həm v1, həm də v2 marşrutları vasitəsilə müxtəlif tenant-lara aid tapşırıqları sadalayabilir və onların tamamlanma metaverilənlərini dəyişdirə bilər. Bu problem 2.4.0 versiyasında düzəldilmişdir.