CVE-2026-62367
Təsvir
Vikunja açıq mənbəli və öz serverində quraşdırılan tapşırıqların idarə edilməsi platformasıdır. 1.0.0-dan 2.3.0-a qədər olan versiyalarda, administrator OpenID Connect provayderində hər provayder üçün tətbiq olunan `emailfallback` seçimini aktivləşdirdikdə, Vikunja SSO girişini yalnız IdP-dən gələn `email` iddiasını istifadə edərək mövcud yerli (istifadəçi adı + şifrə) hesaba bağlayır. Bu ehtiyat mexanizmi heç vaxt `email_verified` (və ya Microsoft `xms_edov`) siqnalını yoxlamır və uyğunlaşdırılmış hesabın şifrəsini tələb etmir. Konfiqurasiya edilmiş emissiyadan qurbanın elektron poçt ünvanını daşıyan token əldə edə bilən hücumçu, qurbandan heç bir razılıq və ya qarşılıqlı əlaqə olmadan həmin şəxs kimi tam sessiya ilə daxil ola bilir. Versiya 2.4.0 bu problemi aradan qaldırır.
Necə düzəltmək olar
- code.vikunja.io/api2.4.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| code.vikunja.io/apiGo | 1.0.0 ≤ v < 2.4.0, Aralıq göstərilməyib | 2.4.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.