CVE-2026-111922
CVE-2026-111922 · Vikunja 2.2.0 before 2.7.0 Permissive CORS Policy Trusting Localhost Origins
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Vikunja from 2.2.0 before 2.7.0 contains a permissive CORS configuration that trusts every localhost and 127.0.0.1 port with credentials, even when service.publicurl is set. Attackers controlling a page on any localhost port can send a credentialed request to the token refresh endpoint and read the returned bearer JWT to take over the logged-in user's account.
CVSS 7.2 · Élevée · EPSS 0,1% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
vikunja
- Versions du logiciel
- ≥ 2.2.0, < 2.7.0: Concernée (semver)
- 2.7.0: Non concernée (semver)
Mettez à jour vers 2.7.0