Vikunja: Link-share principal ID collision allows cross-account API token issuance and management — GHSA-VVCV-VPPH-H844

GitHub · GitHub · GHSA-VVCV-VPPH-H844

ID
GHSA-VVCV-VPPH-H844

Datum
2026-10-09

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
8.1

EPSS
0.00464

Zusammenfassung

Executive Summary Vikunja accepts both regular-user JSON Web Tokens (JWTs) and link-share JWTs through its generic authenticated API route group. A link-share JWT resolves to a `models.LinkSharing` principal whose `GetID()` method returns the numeric `link_shares.id`. The API-token management model then treats that generic numeric value as a `users.id` when it creates, lists, and deletes API tokens. Because…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-10-09

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 8.1 von 10.
Gemeldeter EPSS-Wert: 0.00464.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: code.vikunja.io/api.

Produkt

go: code.vikunja.io/api

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-VVCV-VPPH-H844
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-10-09
Letzte Quellenaktivität: 2026-10-09
Weitere Kennungen: CVE-2026-68581
Kuratiert von: hlukh.ch