CVE-2026-28268
Açıklama
Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. 2.1.0 öncesindeki sürümlerde, vikunja/api'nin şifre sıfırlama mekanizmasında, şifre sıfırlama belirteçlerinin (token) süresiz olarak yeniden kullanılmasına izin veren bir iş mantığı zafiyeti bulunmaktadır. Belirteçlerin kullanım sonrası geçersiz kılınmaması ve belirteç temizleme cron işindeki kritik bir mantık hatası nedeniyle, sıfırlama belirteçleri sonsuza kadar geçerli kalmaktadır. Bu durum; günlükler, tarayıcı geçmişi veya oltalama yoluyla tek bir sıfırlama belirtecini ele geçiren bir saldırganın, standart kimlik doğrulama kontrollerini atlayarak gelecekte herhangi bir zamanda tam ve kalıcı bir hesap ele geçirme işlemi gerçekleştirmesine olanak tanır. 2.1.0 sürümü bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- vikunja vikunja2.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vikunja vikunja | v < 2.1.0 | 2.1.0 |
| code.vikunja.io/apiGo | v ≤ 0.24.6, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.