CVE-2026-62367
Açıklama
Vikunja, açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir görev yönetim platformudur. 1.0.0 ile 2.3.0 arasındaki sürümlerde, bir yönetici bir OpenID Connect sağlayıcısında sağlayıcıya özel `emailfallback` seçeneğini etkinleştirdiğinde, Vikunja bir SSO girişini yalnızca IdP'den gelen `email` talebini kullanarak önceden mevcut olan yerel (kullanıcı adı+şifre) hesabına bağlar. Bu geri dönüş mekanizması hiçbir zaman bir `email_verified` (veya Microsoft `xms_edov`) sinyalini kontrol etmez ve eşleşen hesabın şifresini asla istemez. Yapılandırılmış yayıncıdan kurbanın e-postasını taşıyan bir jeton elde edebilen bir saldırgan, kurbandan herhangi bir onay veya etkileşim olmaksızın tam bir oturumla o kurban olarak giriş yapabilir. Sürüm 2.4.0 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- code.vikunja.io/api2.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| code.vikunja.io/apiGo | 1.0.0 ≤ v < 2.4.0, Aralık belirtilmemiş | 2.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.