Vikunja before 2.7.1 Mass Assignment via Team external_id Field

Özet

Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.

Vikunja before 2.7.1 contains a mass assignment vulnerability that allows any authenticated user to set the read-only external_id field through the team create and update endpoints. Attackers can tag a team they create or administer as externally managed, permanently blocking removal of every member and causing SSO members to be dropped from the team at their next login.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…ikunja/security/advisories/GHSA-fjrf-gjmg-9v6g Üretici bülteni
• vulncheck.com/…7.1-mass-assignment-via-team-external-id-field Üçüncü taraf

Kayıt geçmişi

1. 8 Kas 2026 04:37Yayımlandı

İlgili açıklar

• 8,8 CVE-2026-123531Vikunja sayfalama sınırının page=0 parametresiyle aşılması (kaynak tüketimi)
• 5,9 CVE-2026-123530Vikunja before 2.7.1 Missing Step-Up Authentication via TOTP Enrollment Endpoints
• 4,6 CVE-2026-123529Vikunja before 2.7.1 Stored CSS Injection via TipTap Table Cell data-background-color
• 5,4 CVE-2026-123527Vikunja 2.4.0 before 2.7.1 API Token Scope Collision Authorization Bypass
• 6,8 CVE-2026-123528Vikunja before 2.7.1 Insufficient Session Expiration via HTTP Token Middleware
• 5,7 CVE-2026-123524Vikunja 0.23.0 before 2.7.1 Information Disclosure via Webhook related_tasks Payload