CVE-2026-28268
Publiée le 2026-02-27 · Dernière modification le 2026-06-17
Les serveurs de gestion de tâches Vikunja auto-hébergés antérieurs à la version 2.1.0 sont affectés par une faille dans le processus de réinitialisation du mot de passe. Un attaquant qui obtient un jeton de réinitialisation — par des moyens tels que l'historique du navigateur, les journaux du serveur ou le phishing — peut utiliser ce jeton à plusieurs reprises pour prendre le contrôle du compte d'un utilisateur à tout moment. Cette attaque peut être réalisée via le réseau sans nécessiter d'authentification préalable ni d'interaction ponctuelle de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Vikunja is an open-source self-hosted task management platform. Versions prior to 2.1.0 have a business logic vulnerability exists in the password reset mechanism of vikunja/api that allows password reset tokens to be reused indefinitely. Due to a failure to invalidate tokens upon use and a critical logic bug in the token cleanup cron job, reset tokens remain valid forever. This allows an attacker who intercepts a single reset token (via logs, browser history, or phishing) to perform a complete, persistent account takeover at any point in the future, bypassing standard authentication controls. Version 2.1.0 contains a patch for the issue.