CVE-2026-33335

Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. Versiyon 0.21.0 ile başlayıp versiyon 2.2.0 öncesine kadar olan sürümlerde, Vikunja Desktop Electron sarmalayıcısı, `window.open()` çağrılarından gelen URL'leri herhangi bir doğrulama veya protokol izin listesi uygulamadan doğrudan `shell.openExternal()` fonksiyonuna aktarmaktadır. Kullanıcı tarafından oluşturulan içeriğe `target="_blank"` içeren (veya başka şekilde `window.open` işlemini tetikleyen) bir bağlantı yerleştirebilen bir saldırgan; kurbanın işletim sisteminin rastgele URI şemalarını açmasına neden olarak yerel uygulamaları çalıştırabilir, yerel dosyaları açabilir veya özel protokol işleyicilerini tetikleyebilir. Versiyon 2.2.0 bu sorunu gidermektedir.