Vikunja: Explicit lower-permission share on a sub-project is silently overridden by an inherited parent permission (broken access control / privilege-management regression in v2.6.0) — GHSA-PJR3-86V4-5P7W

Zusammenfassung

## Description ### Summary In Vikunja v2.6.0 the project-permission engine resolves a user's effective permission on a project as the **MAX over the entire reachable project subtree**. As a result, when a user has been granted a **higher** permission on a parent project and the owner *explicitly* shares a **child** project with that same user at a **lower** permission (an intended down-restriction), the explicit…

Zeitlicher Verlauf

Von der Quelle veröffentlicht

2026-10-09

Risikokontext

• Gemeldeter Schweregrad oder Risikowert: mittel.
• Gemeldeter CVSS-Wert: 5.4 von 10.
• Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: code.vikunja.io/api.

Produkt

go: code.vikunja.io/api

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

• Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
• Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
• Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
• Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

• Zur offiziellen Quelle

Nachweise und Herkunft

Kanonische Advisory-ID

GHSA-PJR3-86V4-5P7W

Quelle

GitHub

Vendor

GitHub

Von der Quelle veröffentlicht

2026-10-09

Letzte Quellenaktivität

2026-10-09

Kuratiert von

hlukh.ch

Verwandte Hinweise und Zusammenhänge

Diese Hinweise sind anhand gemeinsamer CVE-, Produkt-, Hersteller-, Quellen- oder Zeitsignale verknüpft.