JVNDB-2026-009474

Vikunjaにおけるユーザ制御の鍵による認証回避に関する脆弱性

Vikunjaはオープンソースのセルフホスト型タスク管理プラットフォームです。バージョン2.2.1以前では、`TaskAttachment.ReadOne()`は添付ファイルをIDのみでクエリしており（`WHERE id = ?`）、URLパスのタスクIDを無視していました。`CanRead()`の権限チェックはURLで指定されたタスクへのアクセスを検証しますが、`ReadOne()`は別のプロジェクトのタスクに属する可能性のある異なる添付ファイルを読み込みます。これにより、認証済みユーザーは自身がアクセス可能なタスクIDとターゲットの添付ファイルIDを指定することで、システム内の任意の添付ファイルをダウンロードまたは削除できてしまいます。添付ファイルIDは連続する整数であるため、列挙は容易です。この問題はバージョン2.2.1で修正されました。

Vikunja

• Vikunja 2.2.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : IDOR in Task Attachment ReadOne Allows Cross-Project File Access and Deletion  Advisory  go-vikunja/vikunja  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-33678

1. National Vulnerability Database (NVD) : CVE-2026-33678
2. 関連文書 : Vikunja 2.2.1 and 2.2.2: Nine security fixes, and quality of life improvements

• [2026年04月01日]
    掲載