Vikunja: Link-share token can enumerate users through the v2 API — GHSA-VFXW-3X8P-2VJR

GitHub · GitHub · GHSA-VFXW-3X8P-2VJR

ID
GHSA-VFXW-3X8P-2VJR

Datum
2026-10-09

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

CVSS
5.3

EPSS
0.00306

Zusammenfassung

### Summary A link-share token, the credential you hand out to let someone view a shared project, can call the v2 user-search endpoints, which it was never meant to reach. The v1 versions of the same endpoints correctly reject link-share tokens; the v2 versions don't. As a result, anyone with a share link can list every member of the shared project (and its parent projects), and can test whether any username exists…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-10-09

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Gemeldeter CVSS-Wert: 5.3 von 10.
Gemeldeter EPSS-Wert: 0.00306.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: code.vikunja.io/api.

Produkt

go: code.vikunja.io/api

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-VFXW-3X8P-2VJR
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-10-09
Letzte Quellenaktivität: 2026-10-09
Weitere Kennungen: CVE-2026-91981
Kuratiert von: hlukh.ch