CVE-2026-63104

Kaneo versiya 2.3.12-dən 2.12.2-yə qədər olan versiyalarda, iş sahəsi (workspace) icazələrinin yoxlanılmadığı kütləvi tapşırıq son nöqtəsindən (endpoint) istifadə edərək, "viewer" və ya "member" rollarına malik autentifikasiya olunmuş iş sahəsi üzvlərinə təyin edilmiş icazələrini aşaraq tapşırıqları silməyə və dəyişdirməyə imkan verən avtorizasiyanın çatışmazlığı zəifliyi mövcuddur. Hücumçular yalnız iş sahəsi üzvlüyünü yoxlayan, lakin digər bütün tapşırıq son nöqtələrində tətbiq olunan rol əsaslı icazə yoxlamasını çağırmayan PATCH /api/task/bulk son nöqtəsinə sorğular göndərərək, iş sahəsindəki bütün tapşırıqları qalıcı olaraq silə və ya tapşırığın statusunu, prioritetini, icraçısını, son tarixini və etiketlərini dəyişdirə bilərlər.