🇰🇷 한글 설명
Vikunja 2.3.0 이전 버전의 링크 공유 인증 로직(GetLinkShareFromClaims)은 데이터베이스 검증 없이 JWT 클레임만으로 권한 객체를 구성합니다. 프로젝트 소유자가 링크 공유를 삭제하거나 권한을 낮춰도 이미 발급된 JWT는 기본 72시간 동안 원래 권한을 유지합니다.
💡 쉬운 설명
링크 공유를 취소해도 이미 받아간 접속 토큰은 최대 3일 동안 계속 작동합니다. 그 기간 동안 취소된 사용자도 예전 권한으로 프로젝트에 접근할 수 있습니다.
🇺🇸 원문 (English)
Vikunja is an open-source self-hosted task management platform. Prior to 2.3.0, Vikunja's link share authentication (GetLinkShareFromClaims in pkg/models/link_sharing.go) constructs authorization objects entirely from JWT claims without any server-side database validation. When a project owner deletes a link share or downgrades its permissions, all previously issued JWTs continue to grant the original permission level for up to 72 hours (the default service.jwtttl). This vulnerability is fixed in 2.3.0.
📍 영향받는 시스템
Vikunja 2.3.0 미만 버전 (셀프 호스팅 작업 관리 플랫폼)
⚔️ 공격 벡터
링크 공유 권한이 취소되거나 축소된 후에도 이전에 발급된 JWT를 보유한 사용자가 만료 전까지 원래 권한으로 프로젝트에 접근
🛡️ 대응 방법
Vikunja를 2.3.0 이상으로 업그레이드하고, 민감한 경우 service.jwtttl 값을 줄이거나 권한 변경 시 기존 토큰을 무효화
🔧 검증 코드
출력된 버전이 2.3.0 미만이면 취약하며, 2.3.0 이상이면 패치된 버전입니다 (버전 정보를 찾을 수 없으면 설치 경로와 배포 방식을 직접 확인해야 합니다).
docker inspect --format '{{.Config.Image}}' vikunja 2>/dev/null || vikunja version 2>/dev/null || ./vikunja --version 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
💻 영향받는 소프트웨어
Multi-Domain Security Management Server