CVE-2026-111922
CVE-2026-111922 · Vikunja 2.2.0 before 2.7.0 Permissive CORS Policy Trusting Localhost Origins
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Vikunja from 2.2.0 before 2.7.0 contains a permissive CORS configuration that trusts every localhost and 127.0.0.1 port with credentials, even when service.publicurl is set. Attackers controlling a page on any localhost port can send a credentialed request to the token refresh endpoint and read the returned bearer JWT to take over the logged-in user's account.
CVSS 7.2 · Высокий · EPSS 0,1% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
vikunja
- Версии
- ≥ 2.2.0, < 2.7.0: Затронуто (semver)
- 2.7.0: Не затронуто (semver)
Обновитесь до 2.7.0