Vikunja — это автономная платформа управления задачами с открытым исходным кодом. До версии 2.2.0 авторизованный пользователь мог прочитать любой комментарий к задаче по идентификатору, независимо от того, есть ли у него доступ к задаче, к которой принадлежит комментарий, путем замены идентификатора задачи в URL-адресе API задачей, к которой у него есть доступ. Версия 2.2.0 устраняет проблему.
Показать оригинальное описание (EN)
Vikunja is an open-source self-hosted task management platform. Prior to version 2.2.0, an authenticated user can read any task comment by ID, regardless of whether they have access to the task the comment belongs to, by substituting the task ID in the API URL with a task they do have access to. Version 2.2.0 fixes the issue.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Vikunja Vikunja
cpe:2.3:a:vikunja:vikunja:*:*:*:*:*:*:*:*
|
— |
2.2.0
|
Ссылки 3
https://github.com/go-vikunja/vikunja/commit/bc6d843ed4df82a6c89f10aa676a7a33d2…
security-advisories@github.com
https://github.com/go-vikunja/vikunja/security/advisories/GHSA-mr3j-p26x-72x4
security-advisories@github.com
https://vikunja.io/changelog/vikunja-v2.2.0-was-released
security-advisories@github.com