CVE-2026-33678
Açıklama
Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. Versiyon 2.2.1 öncesinde, `TaskAttachment.ReadOne()` fonksiyonu ekleri yalnızca kimliğe göre sorgular (`WHERE id = ?`) ve URL yolundaki görev kimliğini göz ardı eder. `CanRead()` içerisindeki izin kontrolü, URL'de belirtilen göreve erişimi doğrular ancak `ReadOne()` başka bir projedeki bir göreve ait olabilecek farklı bir eki yükler. Bu durum, herhangi bir kimliği doğrulanmış kullanıcının, erişebildiği bir görev kimliği ile hedef bir ek kimliği sağlayarak sistemdeki herhangi bir eki indirmesine veya silmesine olanak tanır. Ek kimliklerinin sıralı tam sayılar olması, numaralandırmayı kolaylaştırmaktadır. Versiyon 2.2.1 bu sorunu gidermektedir.
Nasıl düzeltilir
- vikunja vikunja2.2.1 ya da sonraki bir sürüm
- code.vikunja.io/api2.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vikunja vikunja | v < 2.2.1 | 2.2.1 |
| code.vikunja.io/apiGo | v < 2.2.1, Aralık belirtilmemiş | 2.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.