Vikunja - это самостоянная платформа управления задачами с открытым исходным кодом. До 2.3,0, проверка CanUpdate на pkg/models/project_perm…

Vikunja - это самостоянная платформа управления задачами с открытым исходным кодом. До 2.3,0, проверка CanUpdate на pkg/models/project_permissions.go:139-148 требует только CanWrite о новом родительском проекте при смене parent_project_id. Тем не менее, модель разрешения Vikunja использует рекурсивный CTE, который поднимает иерархию проекта для вычисления разрешений. Перемещение проекта под другим родителем меняет цепочку наследования разрешений. Когда пользователь унаследовал доступ к записи (от доли родительского проекта) и переродил детский проект под своим собственным проектным деревом, CTE решает, что их право собственности на нового родителя как администратора (уровень разрешения 2) на перемещенном проекте. Эта уязвимость исправлена в 2.3.0.