7.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, само при определена конфигурация или състояние на системата, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Kaneo before 2.1.6 contains a missing authorization vulnerability that allows authenticated users to access other workspaces by supplying project, task, label or workspace identifiers to API routes lacking membership checks. Attackers who obtain identifiers, for example from shared project links, can read projects and tasks, modify or delete tasks, labels and comments, and search workspace contents.
Засегнати продукти
- usekaneo kaneo: преди 2.1.6
Вид слабост
История
- 14 октомври 2026 Публикувано
Други уязвимости в usekaneo kaneo
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2025-71433
- https://nvd.nist.gov/vuln/detail/CVE-2025-71433
- https://github.com/usekaneo/kaneo/issues/521
- https://github.com/usekaneo/kaneo/blob/v2.1.5/apps/api/src/task/index.ts#L252-L275
- https://github.com/usekaneo/kaneo/commit/6d3555e9c07ec7ce7f68477d669eec67fce33cc3
- https://github.com/usekaneo/kaneo/releases/tag/v2.1.6
- https://www.vulncheck.com/advisories/kaneo-before-2.1.6-missing-authorization-allows-cross-workspace-data-access