CVE-2026-21881

Kanboard: pominięcie uwierzytelnienia przez sfałszowany nagłówek HTTP (REVERSE_PROXY_AUTH)

CVSS 9.1v3.1pub. 2026-01-08upd. 2026-01-20

Kanboard w wersjach 1.2.48 i wcześniejszych zawiera krytyczną podatność umożliwiającą ominięcie uwierzytelnienia, gdy włączona jest opcja REVERSE_PROXY_AUTH. Atakujący bez żadnych uprawnień może podszyć się pod dowolnego użytkownika, w tym administratora, wysyłając sfałszowany nagłówek HTTP.

▸ Pokaż oryginał (EN)

Kanboard is project management software focused on Kanban methodology. Versions 1.2.48 and below is vulnerable to a critical authentication bypass when REVERSE_PROXY_AUTH is enabled. The application blindly trusts HTTP headers for user authentication without verifying the request originated from a trusted reverse proxy. An attacker can impersonate any user, including administrators, by simply sending a spoofed HTTP header. This issue is fixed in version 1.2.49.

🤖 Analiza AI

Jak działa

Gdy włączona jest funkcja REVERSE_PROXY_AUTH, aplikacja Kanboard ufa nagłówkom HTTP przekazywanym w żądaniu i na ich podstawie identyfikuje użytkownika. Problem polega na tym, że aplikacja nie weryfikuje, czy żądanie rzeczywiście pochodzi od zaufanego reverse proxy. Atakujący może więc bezpośrednio wysłać żądanie HTTP z dowolnie spreparowanym nagłówkiem, wskazującym na wybranego użytkownika (np. administratora), i uzyskać pełen dostęp do jego konta.

Skutki

Atakujący zdalnie, bez uwierzytelnienia, może przejąć tożsamość dowolnego użytkownika systemu — w tym administratora — uzyskując pełny dostęp do danych projektów i możliwość ich modyfikacji lub usunięcia.

Mitygacja

Należy zaktualizować Kanboard do wersji 1.2.49, w której podatność została naprawiona. Jako doraźne obejście należy rozważyć wyłączenie opcji REVERSE_PROXY_AUTH do czasu wdrożenia aktualizacji oraz ograniczenie dostępu do aplikacji wyłącznie z zaufanych adresów IP na poziomie firewall.

Kogo dotyczy

Kanboard w wersjach 1.2.48 i wcześniejszych, gdy włączona jest opcja REVERSE_PROXY_AUTH.

Uwagi

Poprawka dostępna w wersji 1.2.49. Commit naprawiający podatność: 7af6143e2ad25b5c15549cca8af4341c7ac4e2fc. Szczegóły opublikowane w ramach GitHub Security Advisory GHSA-wwpf-3j4p-739w.