FICHE CVE

CVE-2026-91968

Publiée le 2026-09-15 · Dernière modification le 2026-09-16

🇫🇷 EN BREF

Les instances de Vikunja utilisant des versions antérieures à la 2.6.0 sont vulnérables à une attaque par déni de service via le point de terminaison task-filter. Un attaquant disposant d'un compte utilisateur standard peut faire planter le processus de l'API en envoyant une requête spécialement conçue contenant des milliers de parenthèses imbriquées, ce qui épuise la mémoire du serveur. Cette action peut être exécutée à distance via le réseau sans aucune interaction supplémentaire de l'utilisateur.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-674

Publiée2026-09-15

Dernière modification2026-09-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

vikunja versions before 2.6.0 contain a resource exhaustion vulnerability in the task-filter endpoint that accepts deeply nested filter expressions without recursion depth limits. Authenticated attackers can supply thousands of nested parentheses in the filter query parameter to exhaust memory and terminate the API process.