FICHE CVE

CVE-2026-91981

Publiée le 2026-09-15 · Dernière modification le 2026-09-16

🇫🇷 EN BREF

Les instances de Vikunja antérieures à la version 2.6.0 sont susceptibles de présenter une fuite d'informations via leur API. Un attaquant disposant d'un lien de partage en lecture seule peut utiliser les points de terminaison de recherche et de projet du système pour découvrir et confirmer les noms d'utilisateur d'autres personnes utilisant le serveur. Cela ne nécessite qu'un accès réseau et un lien de partage valide, aucune autre authentification ni interaction de l'utilisateur n'étant nécessaire pour extraire les données.

CVSS 4.05.3 MOYENNE

Type de faiblesse

Exposition d'informations · CWE-200

Publiée2026-09-15

Dernière modification2026-09-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Vikunja versions before 2.6.0 fail to properly validate link-share tokens in the v2 API user search endpoints. Attackers with a read-only share link can enumerate project users via the projects endpoint and confirm arbitrary usernames exist via the global search endpoint.