Vikunja: Unbounded CSV row cardinality permits API process termination — GHSA-PQF9-H8G4-8GMH

GitHub · GitHub · GHSA-PQF9-H8G4-8GMH

ID
GHSA-PQF9-H8G4-8GMH

Datum
2026-10-09

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
7.1

EPSS
0.00436

Zusammenfassung

# Unbounded CSV row cardinality permits API process termination ## Summary The authenticated v2 CSV migration route caps upload bytes but not parsed row cardinality. It reads every record into a [][]string and then materializes a full task object for every row before insertion. Two million one-cell rows fit in a roughly 4 MB multipart request yet exhaust a 512 MiB API process. ## Impact and affected scope -…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-10-09

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 7.1 von 10.
Gemeldeter EPSS-Wert: 0.00436.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: code.vikunja.io/api.

Produkt

go: code.vikunja.io/api

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-PQF9-H8G4-8GMH
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-10-09
Letzte Quellenaktivität: 2026-10-09
Weitere Kennungen: CVE-2026-91969
Kuratiert von: hlukh.ch