Kostenlos starten
CVE-2026-68582 Medium 04. August 2026 CVSS 6.5/10

🟡 CVE-2026-68582: Medium Schwachstelle

CVE-2026-68582
6.5/10
Medium
Nein
Various
Network

„`html





CVE-2026-68582 – Vikunja BOLA Vulnerability

CVE-2026-68582: Broken Object Level Authorization in Vikunja

Zusammenfassung

Vikunja-Versionen zwischen 0.24.0 und 2.3.0 weisen eine Broken Object Level Authorization (BOLA)-Sicherheitslücke im Task-Collection-Endpoint auf. Die Anfälligkeit ermöglicht es Inhabern von Projektfreigabe-Links, auf Kanban-Bucket-Metadaten anderer Mandanten zuzugreifen. Hierbei werden Bucket-Titel und Benutzerobjekte (Benutzername, Name, ID) offengelegt.

Betroffene Systeme

  • Vikunja >= 0.24.0 bis <= 2.3.0
  • Endpoint: GET /api/v1/projects/{project}/views/{view}/tasks
  • Alle Instanzen mit Link-Share-Funktionalität

Technische Details

Die Sicherheitslücke basiert auf fehlender Autorisierungsprüfung beim Laden von Projektansichten. Der vulnerable Endpoint lädt die angeforderte Projektansicht aus dem URL-Pfad, ohne die Zugriffsberechtigung des Aufrufers zu validieren.

Angriffsablauf: Ein Angreifer mit Link-Share-Token nutzt einen manipulierten URL-Pfad mit beliebigen View-IDs. Während die Task-Scope auf das Share-Projekt begrenzt bleibt, wird die View nicht neu validiert. Dies führt zu zwei Sicherheitsproblemen:

  • Offenlegung von Bucket-Metadaten fremder Mandanten
  • Project/View-ID Existence Oracle (differenzierte 404-Fehler)

Task-Inhalte selbst bleiben geschĂĽtzt. Nur Bucket-Informationen und Benutzerinformationen sind betroffen.

Empfohlene Massnahmen

  • Sofortmassnahme: Upgrade auf Vikunja 2.4.0 oder höher durchfĂĽhren
  • ĂśberprĂĽfung der Zugriffslogs auf verdächtige API-Aktivitäten
  • Link-Share-Tokens ĂĽberprĂĽfen und ggf. zurĂĽcksetzen
  • Implementierung zusätzlicher API-Rate-Limiting-Massnahmen
  • Regelmässige Sicherheits-Audits fĂĽr API-Endpoints

Bewertung

CVE-ID: CVE-2026-68582
Schweregrad: Mittel (Medium)
CVSS-Score: 6.5
Angriffsvektor: N

📷 Social Media Hashtags Instagram & Facebook
🔗 https://huntingthreats.de/%f0%9f%9f%a1-cve-2026-68582-medium-schwachstelle/ #CVE #Vulnerability #CyberSecurity #ITSecurity #ZeroDay #Patch #InfoSec #CyberThreats #HuntingThreats #Cybersicherheit
💡 Tipp: Auf Instagram 10-15 Hashtags posten • Auf Facebook nur 3-5 verwenden
🛒

Empfohlene Security-Tools

* Affiliate-Links
🔑 Empfohlen
YubiKey Security Key NFC
Hardware-Sicherheitsschlüssel für Zwei-Faktor-Authentifizierung. Schützt Accounts selbst bei gestohlenen Passwörtern.
ab 29,00 € Amazon →
🛡 Netzwerk
GL.iNet GL-MT3000 Reise-Router
VPN-fähiger Pocket-Router mit WiFi 6. Schützt dein Netzwerk unterwegs und zu Hause vor Angriffen.
ab 69,00 € Amazon →
📘 Buch
Hacking & Cyber Security mit KI
Prompt Engineering, Phishing, Pentesting mit ChatGPT. Perfekt fĂĽr IT-Security Einsteiger und Profis.
ab 24,99 € Amazon →
💻 Buch
Ethical Hacking - Das grosse Buch
Hacking mit Python Schritt für Schritt erklärt. Verstehe wie Angreifer denken und schütze deine Systeme.
ab 39,99 € Amazon →
🐍 Buch
Python fĂĽr Einsteiger
Programmieren lernen mit Python - Schritt fĂĽr Schritt zum Python-Profi. Ideal fĂĽr Security Automation.
ab 29,99 € Amazon →

* Als Amazon-Partner verdiene ich an qualifizierten Käufen. Diese Links helfen dabei, HuntingThreats kostenlos zu betreiben.

Automatisch aggregiert von HuntingThreats am 04.08.2026
Alle CVEs ansehen