CVE-2026-55067

Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. 2.4.0 sürümünden önce, POST /api/v1/projects/{project}/views/{view}/buckets/{bucket} uç noktası, istek gövdesindeki project_view_id değerinin pkg/models/kanban.go dosyasındaki Bucket.Update tarafından toplu olarak atanmasına (mass assignment) izin vermektedir. Yetki kontrolü, bucket'ın şu anda URL'deki projeye ve görünüme ait olduğunu doğrulamakta ancak gövdede seçilen hedef görünümü doğrulamamaktadır; bu durum, kimliği doğrulanmış herhangi bir kullanıcının saldırgana ait bir bucket'ı başka bir kiracının Kanban görünümüne taşımasına olanak tanımaktadır. Enjekte edilen bucket, saldırgan kontrollü içeriği ve sahipliği koruyarak kiracılar arası sayfa içeriğinin değiştirilmesine (defacement) imkan sağlar. Bu sorun 2.4.0 sürümünde düzeltilmiştir.