CVE-2026-111922
CVE-2026-111922 · Vikunja 2.2.0 before 2.7.0 Permissive CORS Policy Trusting Localhost Origins
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Vikunja from 2.2.0 before 2.7.0 contains a permissive CORS configuration that trusts every localhost and 127.0.0.1 port with credentials, even when service.publicurl is set. Attackers controlling a page on any localhost port can send a credentialed request to the token refresh endpoint and read the returned bearer JWT to take over the logged-in user's account.
CVSS 7.2 · Hoch · EPSS 0,1% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Betroffene Produkte und Versionen
vikunja
- Softwareversionen
- ≥ 2.2.0, < 2.7.0: Betroffen (semver)
- 2.7.0: Nicht betroffen (semver)
Auf 2.7.0 aktualisieren