CVE-2026-33679
Açıklama
Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. Versiyon 2.2.1 öncesinde, `pkg/utils/avatar.go` dosyasındaki `DownloadImage` fonksiyonu, OpenID Connect `picture` claim URL'sinden kullanıcı profil resimleri indirirken herhangi bir SSRF koruması olmayan yalın bir `http.Client{}` kullanmaktadır. OIDC profil resmi URL'sini kontrol eden bir saldırgan, Vikunja sunucusunu rastgele dahili veya bulut meta veri uç noktalarına HTTP GET istekleri yapmaya zorlayabilir. Bu durum, webhook sistemine doğru şekilde uygulanan SSRF korumalarının atlatılmasına neden olur. Versiyon 2.2.1 bu sorunu gidermektedir.
Nasıl düzeltilir
- vikunja vikunja2.2.1 ya da sonraki bir sürüm
- code.vikunja.io/api2.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vikunja vikunja | v < 2.2.1 | 2.2.1 |
| code.vikunja.io/apiGo | v < 2.2.1, Aralık belirtilmemiş | 2.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.