【漏洞预警】Vikunja 爆高危漏洞，删号提权与 Kanban 读任务等（CVE-2026-123520）

发布日期： 2026 年 11 月 8 日
风险等级： 高危（High）起
漏洞编号： CVE-2026-123520 · CVE-2026-123522 · CVE-2026-123531
涉及镜像： vikunja/vikunja — 轩辕镜像 · Docker Hub
CVSS： CVE-2026-123520 / CVE-2026-123522 为 7.1（High）；CVE-2026-123531 为 8.8（NVD Primary High；官方 GHSA-v579-5fwc-gr28 为 Low）
披露时间： NVD 于 2026 年 11 月 8 日集中发布；修复版 v2.7.1 于 2026 年 10 月 20 日发布
相关公告： v2.7.1 · Changelog · GHSA-hq66-9qg8-jwqg · GHSA-5q33-h98p-rgh9 · GHSA-v579-5fwc-gr28

---

一、漏洞概述

同批 NVD 另有多条 Medium / Low，均在 ≥2.7.1 一并修复，不单列。未见在野利用或进入 CISA KEV。

---

二、漏洞状态

统计截止： 2026 年 11 月 8 日（UTC+8）

---

三、影响范围

通过官方镜像部署、且低于 2.7.1 的 Vikunja（含 Hub 上的 2.7.0 及更早标签）。暴露面是对已登录或可自注册用户开放的 HTTP API：

• 123520：需具备团队所有者权限并删除 bot 账号
• 123522：需能对自己的项目发起 Kanban 移动并接收 webhook
• 123531：在允许自注册时可被低权限账号反复调用 page=0

---

四、修复建议

升到 ≥ 2.7.1。当前建议固定 2.8.0。不要把 latest 写进长期配置。

bash
docker pull docker.xuanyuan.run/vikunja/vikunja:2.8.0

bash
docker pull docker.xuanyuan.run/vikunja/vikunja:2.7.1

升级时注意官方行为变化：API token 权限键已重命名（既有 token 会迁移）、访问日志改为写路由模板而非原始 URI、Kanban bucket 与 migration.maxitems 设上限等。

Docker Hub： vikunja/vikunja

轩辕镜像： vikunja/vikunja

---

五、临时缓解措施

在升级之前：限制自注册与团队所有者权限；审查 webhook 与 bots 接口对外暴露；对列表 API 做速率限制。这不能代替 2.7.1 及以上。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Vikunja 的版本修复。请固定 2.8.0（或至少 2.7.1）。今天的 latest 与 2.8.0 是同一份镜像，加速拉取 latest 以后可能不再锁定在这个版本。基于更旧标签二次构建的，要改基础标签后重新构建。

配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• NVD：CVE-2026-123520 · CVE-2026-123522 · CVE-2026-123531
• GitHub：v2.7.1 · GHSA-hq66-9qg8-jwqg · GHSA-5q33-h98p-rgh9 · GHSA-v579-5fwc-gr28
• Changelog：vikunja 2.7.1
• Docker Hub：vikunja/vikunja
• 轩辕站内镜像页：vikunja/vikunja

阅读原文

• 轩辕镜像官方博客

---

轩辕镜像安全团队
2026 年 11 月 8 日