CVE-2026-27616
Açıklama
Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. Versiyon 2.0.0 öncesinde uygulama, kullanıcıların görev ekleri olarak SVG dosyaları yüklemesine izin vermektedir. SVG, <script> etiketleri veya onload gibi olay işleyicileri aracılığıyla JavaScript yürütülmesini destekleyen XML tabanlı bir formattır. Uygulama, SVG içeriğini depolamadan önce temizlememektedir. Yüklenen SVG dosyasına doğrudan URL üzerinden erişildiğinde, dosya tarayıcıda uygulamanın kökeni altında satır içi olarak işlenir. Sonuç olarak, gömülü JavaScript kimliği doğrulanmış kullanıcının bağlamında çalıştırılır. Kimlik doğrulama belirteci localStorage içinde saklandığı için JavaScript aracılığıyla erişilebilir ve kötü niyetli bir yük ile alınabilir. Versiyon 2.0.0 bu sorunu gidermektedir.
Nasıl düzeltilir
- vikunja vikunja2.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vikunja vikunja | v < 2.0.0 | 2.0.0 |
| code.vikunja.io/apiGo | v ≤ 0.24.6, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.