CVE-2026-33675
Açıklama
Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. Versiyon 2.2.1 öncesinde, `pkg/modules/migration/helpers.go` dosyasındaki `DownloadFile` ve `DownloadFileWithHeaders` migrasyon yardımcı fonksiyonları, herhangi bir SSRF koruması olmaksızın rastgele HTTP GET istekleri yapmaktadır. Bir kullanıcı Todoist veya Trello migrasyonunu tetiklediğinde, üçüncü taraf API yanıtından gelen dosya eki URL'leri doğrudan bu fonksiyonlara iletilir; bu durum, bir saldırganın Vikunja sunucusunu dahili ağ kaynaklarını getirmeye zorlamasına ve yanıtı indirilebilir bir görev eki olarak döndürmesine olanak tanır. Versiyon 2.2.1 bu sorunu gidermektedir.
Nasıl düzeltilir
- vikunja vikunja2.2.1 ya da sonraki bir sürüm
- code.vikunja.io/api2.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vikunja vikunja | v < 2.2.1 | 2.2.1 |
| code.vikunja.io/apiGo | v < 2.2.1, Aralık belirtilmemiş | 2.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.