Vikunja: Cross-tenant task-position rows can be injected into arbitrary project views via the unvalidated project_view_id in the task position endpoint (v1 and v2) — GHSA-W39F-H553-H2MX

GitHub · GitHub · GHSA-W39F-H553-H2MX

ID
GHSA-W39F-H553-H2MX

Datum
2026-10-09

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

CVSS
5.3

EPSS
0.00264

Zusammenfassung

## Summary The task-position endpoint authorizes only the task side of the write: `TaskPosition.CanUpdate` delegates to `Task.CanUpdate` (write access to the task's own project) and the request body's `project_view_id` is never validated to belong to the task's project, nor is any access to that view required. Any authenticated user with a single writable task of their own can persist `(task_id, project_view_id,…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-10-09

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Gemeldeter CVSS-Wert: 5.3 von 10.
Gemeldeter EPSS-Wert: 0.00264.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: code.vikunja.io/api.

Produkt

go: code.vikunja.io/api

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-W39F-H553-H2MX
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-10-09
Letzte Quellenaktivität: 2026-10-09
Weitere Kennungen: CVE-2026-91984
Kuratiert von: hlukh.ch