CVE-2026-58660
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Kanboard przed 1.2.53 (poprawka w commicie 564cc30) ma błąd w metodzie save() kontrolera BoardAjaxController używanej przez endpoint drag-and-drop tablicy kanban. Walidacja roli odbywa się na podstawie dostarczonego przez atakującego project_id, ale nie sprawdza się, czy task_id należy do tego projektu, co pozwala uwierzytelnionemu użytkownikowi przenosić lub ukrywać zadania z innych projektów, w tym prywatnych.
Ocena ryzyka
Każdy uwierzytelniony użytkownik będący członkiem dowolnego projektu może modyfikować lub ukrywać zadania w innych projektach, naruszając poufność i integralność danych. Może to prowadzić do sabotażu pracy zespołów i wycieku informacji o zadaniach.
Rekomendacja
Zaktualizuj Kanboard do wersji 1.2.53 lub nowszej (commit 564cc30). Do czasu aktualizacji rozważ ograniczenie uprawnień użytkowników i monitorowanie nietypowych zmian zadań.
Inne podatności w Kanboard
Zobacz wszystkie- CVE-2017-12851Wysokie
Użytkownik z uprawnieniami standardowymi mógł zresetować hasło administratora poprzez modyfikację danych formularza. Dotyczy wersji kanboard przed 1.0.46.
- CVE-2017-12850Wysokie
Użytkownik z uprawnieniami standardowymi mógł zresetować hasło innych użytkowników (w tym administratora) poprzez modyfikację danych formularza. Dotyczy wersji kanboard przed 1.0.46.
- CVE-2026-21881Krytyczne
Kanboard (wersje 1.2.48 i niższe) jest podatny na krytyczne obejście uwierzytelniania, gdy włączone jest REVERSE_PROXY_AUTH. Aplikacja ślepo ufa nagłówkom HTTP do uwierzytelniania użytkowników bez weryfikacji, czy żądanie pochodzi od zaufanego proxy. Atakujący może podszyć się pod dowolnego użytkownika, w tym administratora, wysyłając spreparowany nagłówek HTTP. Problem naprawiono w wersji 1.2.49.
- CVE-2026-57862Wysokie
Podatność SSRF w Kanboard 1.2.52 i wcześniejszych umożliwia uwierzytelnionym użytkownikom ominięcie ochrony SSRF poprzez podanie szesnastkowej notacji adresu IP w kontrolowanych przez użytkownika URL-ach, co pozwala na dostęp do wewnętrznych zasobów sieciowych, takich jak metadane instancji chmury czy usługi localhost.
- CVE-2026-56774Średnie
Podatność w Kanboard do wersji 1.2.52 (załatana w commicie 928c68a) pozwala uwierzytelnionym użytkownikom na usuwanie sesji Remember Me innych użytkowników. Funkcja UserViewController::removeSession nie waliduje identyfikatora sesji przed przekazaniem go do RememberMeSessionModel::remove.
- CVE-2023-36813Wysokie
Kanboard to oprogramowanie do zarządzania projektami, które koncentruje się na metodologii Kanban. W wersjach przed 1.2.31 uwierzytelniony użytkownik może przeprowadzić atak SQL Injection, co prowadzi do eskalacji uprawnień lub utraty poufności.
- CVE-2023-33970Średnie
W Kanboard, oprogramowaniu do zarządzania projektami, zidentyfikowano podatność związaną z brakiem kontroli dostępu. Użytkownik z najniższymi uprawnieniami może uzyskać dostęp do tytułów wszystkich zadań i projektów, nawet jeśli nie został zaproszony lub projekt jest osobisty.
- CVE-2023-33969Średnie
Kanboard to oprogramowanie do zarządzania projektami, które umożliwia atak XSS poprzez przechowywanie złośliwego kodu JavaScript w zadaniach. Użytkownicy, którzy wyświetlą takie zadanie, będą narażeni na atak XSS.
- CVE-2023-33968Średnie
Kanboard, oprogramowanie do zarządzania projektami, ma lukę w kontroli dostępu w wersjach przed 1.2.30. Umożliwia to użytkownikom z niskimi uprawnieniami tworzenie lub przenoszenie zadań do dowolnego projektu, nawet jeśli nie zostali zaproszeni lub projekt jest osobisty.
- CVE-2023-33956Średnie
Kanboard, oprogramowanie do zarządzania projektami, ma podatność na niebezpieczne bezpośrednie odniesienie do obiektów (IDOR) w wersjach przed 1.2.30. Umożliwia to każdemu użytkownikowi odczyt plików przesłanych przez innych użytkowników, niezależnie od ich uprawnień.
Oryginalny opis (angielski, źródło NVD)
Kanboard before 1.2.53, fixed in commit 564cc30, BoardAjaxController save() method (used by the kanban board drag-and-drop endpoint) validates the caller's role on the attacker-supplied project_id but never verifies that the supplied task_id actually belongs to that project. Because task identifiers are sequential integers shared across the entire instance, any authenticated user who is a member of at least one project can enumerate and move (corrupt/hide) tasks belonging to any other project on the same instance, including private projects they have no membership or role on.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS