JVNDB-2026-006370

Vikunjaにおける複数の脆弱性

Vikunjaはオープンソースのセルフホスト型タスク管理プラットフォームです。バージョン2.0.0より前のgo-vikunja/vikunjaリポジトリ内のvikunja/pkg/modules/dump/restore.goにあるrestoreConfig関数は、提供されたZIPアーカイブ内のファイルパスを適切にサニタイズしません。悪意のある細工が施されたZIPによって、意図された展開ディレクトリを回避しホストシステム上の任意のファイルを上書きすることが可能です。さらに、誤った形式のアーカイブはランタイムパニックを引き起こし、データベースが永久に消去された直後にプロセスがクラッシュします。このアプリケーションはZIPアーカイブのメタデータを信用し、zip.File構造体のName属性を検証せずにos.OpenFile呼び出しで直接使用するため、意図されたディレクトリ外にファイルを書き込んでしまいます。復元ロジックはZIP内の特定のディレクトリ構造を前提としており、「ミニマリスト」な悪意あるZIPが提供された際にはアーカイブ内容から派生したスライスの長さを検証できません。特に154行目でlen(ms)-2のインデックスにアクセスしようとするため、要素が不十分なスライスに対してパニックが発生します。バージョン2.0.0でこの問題は修正されています。

Vikunja

• Vikunja 2.0.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Path Traversal in CLI Restore  Advisory  go-vikunja/vikunja  GitHub

1. パス・トラバーサル(CWE-22) [その他]
2. キャッチされない例外(CWE-248) [その他]

1. CVE-2026-27819

1. National Vulnerability Database (NVD) : CVE-2026-27819
2. 関連文書 : Vikunja 2.0.0: Many security fixes and a few breaking changes

• [2026年03月09日]
    掲載