Pubblicato il 2026-08-02 · Fonte: NVD NIST
La vulnerabilità CVE-2026-68581 è stata scoperta in Vikunja, versioni 0.22.0 attraverso 2.3.0. Questa vulnerabilità permette agli attaccanti autenticati di ottenere l'ID numerico di un utente bersaglio e creare condivisioni di link fino a quando il numero di sequenza non raggiunge quel valore. Ciò consente all'attaccante di utilizzare il token JWT della condivisione di link per elencare, creare e eliminare i token API dell'utente bersaglio. La vulnerabilità è stata risolta nella versione 2.4.0.
Un attaccante può sfruttare questa vulnerabilità per ottenere accesso non autorizzato ai token API degli utenti, inclusa la possibilità di creare nuovi token con ambiti scelti dall'attaccante sotto le autorizzazioni dell'utente bersaglio. Ciò può portare a violazioni della sicurezza e accesso non autorizzato a sistemi e dati sensibili.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare Vikunja alla versione 2.4.0 o successiva. In assenza di un aggiornamento, è importante limitare l'accesso agli utenti autenticati e monitorare le attività di condivisione di link e gestione dei token API. Inoltre, è fondamentale implementare pratiche di sicurezza generiche, come l'autenticazione a più fattori e la gestione degli accessi basata sui ruoli.
La vulnerabilità CVE-2026-68581 è una vulnerabilità di autenticazione in Vikunja che permette agli attaccanti autenticati di ottenere accesso non autorizzato ai token API degli utenti.
L'impatto della vulnerabilità è alto, poiché gli attaccanti possono ottenere accesso non autorizzato ai token API degli utenti e creare nuovi token con ambiti scelti dall'attaccante.
Per proteggersi, è necessario aggiornare Vikunja alla versione 2.4.0 o successiva e implementare pratiche di sicurezza generiche, come l'autenticazione a più fattori e la gestione degli accessi basata sui ruoli.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.