CVE-2026-27575

Vikunja: słabe hasła i brak unieważniania sesji po zmianie hasła

CVSS 9.1v3.1pub. 2026-02-25upd. 2026-03-05

Vikunja przed wersją 2.0.0 pozwala użytkownikom ustawiać bardzo słabe hasła (np. '1234', 'password') bez wymuszania minimalnych wymagań siły hasła. Dodatkowo aktywne sesje pozostają ważne po zmianie hasła, co umożliwia atakującemu utrzymanie trwałego dostępu do konta nawet po tym, jak ofiara zresetuje swoje hasło.

▸ Pokaż oryginał (EN)

Vikunja is an open-source self-hosted task management platform. Prior to version 2.0.0, the application allows users to set weak passwords (e.g., 1234, password) without enforcing minimum strength requirements. Additionally, active sessions remain valid after a user changes their password. An attacker who compromises an account (via brute-force or credential stuffing) can maintain persistent access even after the victim resets their password. Version 2.0.0 contains a fix.

🤖 Analiza AI

Jak działa

Aplikacja nie wymusza minimalnych wymagań dotyczących siły hasła (CWE-521), co ułatwia przejęcie konta metodą brute-force lub credential stuffing. Po pomyślnym przejęciu konta istniejące sesje atakującego nie są unieważniane w momencie zmiany hasła przez ofiarę (CWE-613). Oznacza to, że nawet jeśli użytkownik wykryje naruszenie i zmieni hasło, atakujący zachowuje aktywną sesję i nieprzerwany dostęp do konta.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do konta użytkownika, a następnie utrzymywać go trwale nawet po zmianie hasła przez ofiarę — prowadząc do wycieku poufnych danych zadań i projektów oraz modyfikacji zasobów w platformie.

Mitygacja

Należy zaktualizować Vikunja do wersji 2.0.0, która zawiera poprawkę wymuszającą minimalne wymagania siły hasła oraz unieważnianie aktywnych sesji po zmianie hasła.