CVE-2026-35594
Açıklama
Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. 2.3.0 sürümünden önce, Vikunja'nın bağlantı paylaşımı kimlik doğrulaması (pkg/models/link_sharing.go dosyasındaki GetLinkShareFromClaims), yetkilendirme nesnelerini herhangi bir sunucu tarafı veritabanı doğrulaması yapmadan tamamen JWT claim'lerinden oluşturmaktadır. Bir proje sahibi bir bağlantı paylaşımını sildiğinde veya izinlerini düşürdüğünde, daha önce düzenlenmiş tüm JWT'ler 72 saate kadar (varsayılan service.jwtttl) orijinal izin seviyesini sağlamaya devam eder. Bu güvenlik açığı 2.3.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- vikunja vikunja2.3.0 ya da sonraki bir sürüm
- code.vikunja.io/api2.3.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vikunja vikunja | v < 2.3.0 | 2.3.0 |
| code.vikunja.io/apiGo | v < 2.3.0, Aralık belirtilmemiş | 2.3.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.