- Yama var
- Son 7 gün
- CWE-639
CVE-2026-123522
Vikunja'da Kanban kovası taşıma webhook'u üzerinden görev bilgisi ifşası
- Yayımlandı
- Güncellendi
- 8 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, uygulama içinde kayıtlı herhangi bir kullanıcının başka kişilerin iş görevlerini görmesine olanak tanıyabilir. Bu da gizli iş bilgilerinin sızma riskini ve ekip içinde yanıltıcı bildirimleri doğurur. Etkilenen kurulumlar için güncellemenin öncelikli olarak yapılması önerilir.
ÖzetTürkçe
Vikunja'nın 2.7.1 öncesi sürümlerinde, kimlik doğrulaması yapılmış kullanıcılar Kanban panosunda işlem yapmayan bir kova taşıma isteğine özel hazırlanmış bir görev nesnesi ekleyerek yetkisiz görevleri okuyabilmektedir. Saldırgan, görev kimliğini hedef görevin kimliğine, proje kimliğini kendi projesine ayarlayabilir. Bu durumda görevin tüm içeriği saldırganın webhook adresine iletilir. Etkilenen ürün go-vikunja vikunja, sürüm 2.7.1'den önceki tüm sürümlerdir.
Saldırgan ne yapabilir?
Saldırgan, yetkisi olmadığı halde diğer kullanıcıların görevlerinin tam içeriğini okuyabilir. Ayrıca sahte bahsetme (mention) bildirimleri üreterek hedef kullanıcıları yanıltabilir.
Kaynaktaki açıklama (İngilizce)
Vikunja before 2.7.1 contains an authorization bypass vulnerability that allows authenticated users to read any task by injecting a crafted task object into a no-op Kanban bucket move. Attackers can set task.id to a victim task and task.project_id to their own project, routing full task contents to their webhook and forging mention notifications.
Ne yapmalı?
- Vikunja'yı 2.7.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme sonrasında sürüm numarasını kontrol ederek uygulamanın 2.7.1 veya üzerinde çalıştığını doğrulayın. Genel öneri
- Güncelleme öncesinde yeni kayıt olmasına izin veriliyorsa, yetkisiz kullanıcı kayıtlarını ve yeni hesapları gözden geçirin. Genel öneri
Ek önlemler
- Webhook yapılandırmalarını inceleyin ve bilinmeyen ya da yetkisiz dış adreslere giden webhook'ları kaldırın. Genel öneri
- Güncellemeden önce uygulama erişim günlüklerinde olağandışı Kanban taşıma isteklerini ve beklenmeyen webhook çağrılarını arayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| go-vikunja vikunja | < 2.7.1 | 2.7.1 |
| 2.7.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.