Vikunja: Scoped-API-Token kann uneingeschränkte OAuth-Sitzungsdaten erzeugen

Zusammenfassung

Vikunja 2.3.0 erlaubt es einem API-Token, das auf die Berechtigung oauth.authorize beschränkt ist, die OAuth-Endpunkte für Autorisierung und Token-Ausstellung aufzurufen. Das Token kann gegen ein normales Bearer-JWT und einen Refresh-Token getauscht werden, die nicht durch den Scope des ursprünglichen Tokens eingeschränkt sind. Ein Angreifer mit einem solchen Token kann so als derselbe Benutzer auf Routen ausserhalb des deklarierten Scopes zugreifen. Voraussetzung ist Netzwerkzugriff auf die Instanz und ein bestehendes Token mit dem Scope authorize.

Betroffen

• Vikunja 2.3.0
• Versionen vor 2.3.0: Unbekannt.

Behoben in

• Vikunja 2.4.0 (Fix-Commit 4ae2e093014881052ed8f8ecd8bcb9adf83dd276)

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme.
• Bis zum Patch API-Tokens mit der Berechtigung oauth.authorize überprüfen und widerrufen sowie prüfen, ob eine Integration diese Berechtigung benötigt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
• CISA SSVC führt die Ausnutzung als poc und die Automatisierbarkeit als no.
• Status im CISA-KEV-Katalog nicht geprüft.

Unsere Empfehlung

• Vikunja auf 2.4.0 oder neuer aktualisieren, zuerst internet-erreichbare Instanzen und Instanzen mit Tokens, die von Drittprogrammen genutzt werden.
• API-Tokens mit der Berechtigung oauth.authorize überprüfen und widerrufen.
• Vor dem Patch ausgestellte Sitzungen bis zur Überprüfung als gültig behandeln und das Konto auf unerwartete Zugriffe prüfen.
• Logs auf Aufrufe von /api/v1/oauth/authorize und /api/v1/oauth/token überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-v3p6-34mc-hj7v github.com
• Vikunja v2.4.0 release github.com
• Fix commit 4ae2e09 github.com
• OSV CVE-2026-57458 osv.dev
• Vikunja 2.4.0 changelog vikunja.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:22.