CVE-2026-55065

Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. 0.24.6 ile 2.4.0 sürümleri arasında, DELETE /api/v1/projects/:project/views/:view uç noktası, kimliği doğrulanmış bir kullanıcının yalnızca saldırgan tarafından kontrol edilen bir proje tanımlayıcısı üzerinden yetkilendirme alarak başka bir projeye ait görünüm tanımlayıcısı sağlamasına izin verir. pkg/models/project_view_permissions.go dosyasındaki ProjectView.CanDelete fonksiyonu, görünümün belirtilen yol projesine ait olduğunu doğrulamamaktadır ve pkg/models/project_view.go dosyasındaki ProjectView.Delete fonksiyonu, kapsamlı project_views silme işlemi hiçbir satırı etkilemese bile çalışmaya devam eder. Sonraki silme işlemleri task_buckets ve task_positions öğelerini yalnızca project_view_id üzerinden seçer; bu durum, mağdur görünümü ve görevleri olduğu gibi bırakırken Kanban atamalarının ve sıralamasının kiracılar arası imhasına olanak tanır. Bu sorun 2.4.0 sürümünde düzeltilmiştir.