- Yama var
- Son 7 gün
- CWE-269
CVE-2026-123520
Vikunja'da hesap silme yoluyla yetki yükseltme açığı
- Yayımlandı
- Güncellendi
- 8 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, ekip içindeki bir kullanıcının paylaşılan projelerin kontrolünü ele geçirmesine ve asıl sahibinin erişimini engellemesine olanak tanır. Bu durum iş verilerinin bütünlüğü ve süreklilik açısından risk oluşturur. Etkilenen sürümler mümkün olan en kısa sürede güncellenmelidir.
ÖzetTürkçe
Vikunja'nın 0.18.0 ile 2.7.1 öncesi sürümlerinde, takım sahipleri hesap silme işlemini kötüye kullanarak salt okunur paylaşılan projelerde yönetici veya sahiplik yetkisi kazanabiliyor. Saldırgan bir bot hesabı oluşturup bunu takımına ekleyebiliyor, ardından bots uç noktası üzerinden silerek gerçek proje sahibinin erişimini kilitleyebiliyor. Etkilenen, bu sürüm aralığındaki Vikunja kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, salt okunur olarak paylaşılan projeleri yönetebilir hale gelebilir ve gerçek proje sahibini bu projelerden dışlayabilir. Bu da proje verilerinin değiştirilmesine ve erişim kaybına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Vikunja from 0.18.0 before 2.7.1 contains a privilege escalation vulnerability that allows team owners to gain admin or ownership of read-only shared projects by deleting accounts. Attackers can create a bot, add it to their team, and delete it through the bots endpoint, triggering ensureProjectAdminUser to promote read-only shares and lock out the real owner.
Ne yapmalı?
- Vikunja'yı 2.7.1 veya üzeri bir sürüme yükseltin. Üretici
- Güncelleme öncesinde, paylaşılan projelerde beklenmeyen yönetici veya sahiplik değişiklikleri olup olmadığını kontrol edin ve gerekirse yetkileri elle geri alın. Genel öneri
Ek önlemler
- Takım sahiplerinin bot hesabı oluşturma ve hesap silme yetkilerini gerekli olmayan kullanıcılarla sınırlandırın. Genel öneri
- Paylaşılan projelerdeki yetki değişikliklerini ve hesap silme olaylarını düzenli olarak izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| go-vikunja vikunja | ≥ 0.18.0, < 2.7.1 | 2.7.1 |
| 2.7.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.