🟠 CVE-2026-68581: High Schwachstelle

„`html

Zusammenfassung

Vikunja, ein Open-Source-Projektmanagement-Tool, weist eine kritische Authentifizierungslücke in der API-Token-Verwaltung auf. Die Schwachstelle (CVE-2026-68581) ermöglicht es authentifizierten Angreifern, auf die API-Token anderer Benutzer zuzugreifen und diese zu manipulieren. Betroffen sind die Versionen 0.22.0 bis 2.3.0. Die Gemeinde wurde aufgefordert, auf Version 2.4.0 oder höher zu aktualisieren.

Betroffene Systeme

• Vikunja 0.22.0 bis 2.3.0 (alle Plattformen)
• Installationen mit aktivierter Link-Share-Funktionalität
• Systeme mit mehreren Benutzern und/oder Link-Shares

Technische Details

Die Verwundbarkeit resultiert aus unzureichender Validierung des Principal-Typs in der Token-Management-API. Vikunja nutzt numerische IDs sowohl für Benutzer als auch für Link-Shares. Der generische web.Auth.GetID()-Interface unterscheidet nicht zwischen diesen ID-Typen.

Ein Angreifer kann wie folgt vorgehen:

1. Ziel-Benutzer-ID durch authentifizierte Benutzersuche ermitteln
2. Link-Shares auf einem zugänglichen Projekt erstellen
3. Link-Share-Sequenz manipulieren, bis diese der Ziel-Benutzer-ID entspricht
4. Das resultierende Link-Share-JWT als Authentifizierung für die /api/v1/tokens-Endpoints verwenden
5. API-Token des Zielnutzers auflisten, erstellen oder löschen

Dies ermöglicht die Ausstellung neuer Tokens mit beliebigen Berechtigungen unter den Rechten des Zielnutzers.

Empfohlene Massnahmen

• Sofort-Update: Upgrade auf Vikunja 2.4.0 oder neuer durchführen
• Zugriffskontrolle: Link-Share-Funktionalität einschränken, falls nicht erforderlich
• Audit: API-Token-Logs auf verdächtige Aktivitäten überprüfen
• Monitoring: Unerwartete Token-Erstellungen überwachen
• Passwörter: Bei Verdacht auf Kompromittierung zurücksetzen

Bewertung

CVSS-Score: 8.1 (High)
Angriffsvektor: Netzwerk
Authentifizierung erforderlich: Ja
Auswirkung: Höchste Priorität für Multi-User-Installationen

„`