CVE-2026-68582

Vikunja versiyonları >= 0.24.0 ve <= 2.3.0, task-collection uç noktasında (GET /api/v1/projects/{project}/views/{view}/tasks) hatalı nesne düzeyinde yetkilendirme (BOLA) zafiyeti içermektedir. Uç nokta, çağrının yapan kişinin yetkili olduğunu doğrulamadan istenen proje görünümünü URL yolundan yüklemektedir. Bir bağlantı paylaşım belirteci sahibi için görev kapsamı paylaşımın kendi projesine sabitlenmiştir ancak görünüm saldırgan tarafından kontrol edilen yoldan alınmakta ve hiçbir zaman yeniden doğrulanmamaktadır. Sonuç olarak, herhangi bir proje paylaşım bağlantısına sahip olan kişi, örnekteki her görünüm için diğer tüm kiracıların kanban kova kayıtlarını —kova başlıklarını ve oluşturulan tam created_by kullanıcı nesnesini (kullanıcı adı, isim, kimlik)— okuyabilir. Aynı eksik ön yetkilendirme görünüm yüklemesi, bağlantı paylaşımları ve sıradan kimliği doğrulanmış kullanıcılar tarafından kullanılabilen bir proje/görünüm-ID varlık orakeli (404'e karşı 404 olmayan durum) oluşturmaktadır. Görev içerikleri paylaşımın kendi projesiyle sınırlı kalmaya devam eder ve ifşa edilmez. 2.4.0 sürümünde düzeltilmiştir.