CVE-2026-91982

Orta

Açıklama

2.6.0 öncesindeki Vikunja, kayıt işleminden sonra ham TOTP paylaşılan sırrını (shared secret), yeniden kimlik doğrulaması gerektirmeden GET /api/v1/user/settings/totp ve /api/v1/user/settings/totp/qrcode uç noktaları üzerinden ifşa etmeye devam etmektedir. Geçerli bir erişim belirtecine sahip saldırganlar bu sırrı okuyabilir, kendi kimlik doğrulayıcılarına aktarabilir ve ikinci faktörü etkisiz hale getirerek hesap ele geçirmeyi sağlamak için süresiz olarak geçerli kodlar oluşturabilirler.

ÖnemOrta

CVSS4.3

İstismar olasılığı—

ÜrünCode.vikunja.io/api

Yayın15 Eyl 2026

İlk görülme15 Eyl 2026

Zayıflık türüCWE-522CWE-522

Nasıl düzeltilir

Güncelleyin

code.vikunja.io/api2.6.0 ya da sonraki bir sürüm

Üretici duyuruları

github.com/go-vikunja/vikunja/security/advisories/GHSA-88f6-4rjv-x774

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
code.vikunja.io/apiGo	v < 2.6.0, Aralık belirtilmemiş	2.6.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.