- Yama var
- Son 7 gün
- CWE-79
CVE-2026-115507
Vikunja e-posta bildiriminde HTML enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Vikunja 2.2.0 sürümünden 2.7.1 öncesine kadar olan sürümlerde, pkg/notifications/mail.go dosyasındaki CreateConversationalHeader işlevinde HTML enjeksiyonu açığı bulunmaktadır. Bu işlev, görüntüleme adlarını ile görev ve proje başlıklarını e-posta bağlantı etiketlerine filtrelemeden doğrudan eklemektedir. Kimliği doğrulanmış kullanıcılar, bağlantı etiketini kapatacak şekilde başlıklar veya görüntüleme adları hazırlayarak, proje üyelerine gönderilen görev yorumu ve görev anma bildirim e-postalarına oltalama (phishing) bağlantıları enjekte edebilmektedir.
Kaynaktaki açıklama (İngilizce)
Vikunja 2.2.0 before 2.7.1 contains an HTML injection vulnerability in CreateConversationalHeader in pkg/notifications/mail.go that interpolates display names and task and project titles raw into email anchors. Authenticated users can craft titles or display names that close the anchor and inject phishing links into task-comment and task-mention notification emails sent to project members.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| go-vikunja vikunja | ≥ 2.2.0, < 2.7.1 | 2.7.1 |
| 2.7.1 Etkilenmiyor | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ikunja/security/advisories/GHSA-rp33-8f2m-hm6j Üretici bülteni
- github.com/…ommit/18ff05932632c65dbc90a88118597989c6af4bf9 Yama
- vulncheck.com/…1-html-injection-via-notification-email-header Üçüncü taraf
- github.com/…/vikunja/blob/v2.7.0/pkg/notifications/mail.go Diğer
- github.com/go-vikunja/vikunja/releases/tag/v2.7.1 Diğer
- github.com/go-vikunja/vikunja Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.