Защитная диагностика Vikunja по GHSA-569v-q83c-3j3g: version inventory, обратимый fixture, PASS/FAIL/Unknown, stop-rule и минимальный пакет доказательств без production-данных.
Что именно проверяет карточка Vikunja
Здесь не проводится общий аудит продукта и не пересказывается чужая публикация. Проверяется одна граница: project_view_id в запросе может переместить bucket в чужой tenant. Advisory GHSA-569v-q83c-3j3g формулирует upstream-сигнал как «Vikunja vulnerable to authenticated cross-tenant kanban-bucket relocation via `project_view_id` mass-assignment» и задаёт version inventory «code.vikunja.io/api: <= 2.3.0; первая исправленная версия: 2.4.0». Само совпадение версии означает только affected_candidate. Оно не подтверждает достижимость пути, наличие инцидента или ущерба. Для not_present нужен runtime/SBOM, для outside_range — resolved dependency, для patched_or_backported — release либо commit и повторяемый regression result. Если связать работающий artifact с revision нельзя, честный ответ — Unknown. Уникальная модель наблюдения для этой карточки связывает гарантию «сервер обязан заново связать task, bucket, view и project с одним авторизованным principal» с действием «в двух disposable projects создаются пустые bucket; ограниченный пользователь делает разрешённый перенос и затем cross-project boundary-case». Она считается полной только вместе с колонками «actor | task project | target view | HTTP | persisted parent | verdict» и отдельным аварийным условием «bucket или task сменил чужой parent, возникла запись вне fixtures либо audit не связывает actor». Эти пять элементов образуют самостоятельную проверку именно Vikunja, а не заменяемый шаблон для соседнего продукта.
Дерево решения по версии и функции Vikunja
Соберите package manager, lock-файл, digest образа или бинарника, feature flag и фактическую точку вызова. Сначала установите, присутствует ли code.vikunja.io/api в runtime, а не только в исходном manifest. Затем сравните доказанную версию с границей «code.vikunja.io/api: <= 2.3.0; первая исправленная версия: 2.4.0». Ветка not_present завершает проверку без запуска fixture; outside_range требует сохранённого вывода inventory; affected_candidate переходит к изолированному тесту; patched_or_backported требует ссылки на исправление и его test evidence. Не подменяйте эти состояния одним HTTP 200, названием контейнера, датой сборки или отсутствием жалоб.
Обратимый fixture для механизма GHSA-569v-q83c-3j3g
Целевая гарантия сформулирована так: сервер обязан заново связать task, bucket, view и project с одним авторизованным principal. Проверка: в двух disposable projects создаются пустые bucket; ограниченный пользователь делает разрешённый перенос и затем cross-project boundary-case. Среда должна быть одноразовой, без production snapshot, персональных данных, токенов и открытого исходящего доступа. До boundary-case выполните benign control, чтобы доказать достижимость нужной ветки. Заранее установите таймаут, лимит CPU/RSS, разрешённое дерево temp и сетевой allowlist loopback. После каждого шага прочитайте состояние обратно и удалите созданные объекты. Не используйте опубликованные exploit payload или реальные идентификаторы.
Как заполнить таблицу «actor | task project | target view | HTTP | persisted parent | verdict»
Записывайте по одной строке на benign control и boundary-case: actor | task project | target view | HTTP | persisted parent | verdict. PASS означает, что control дошёл до нужной функции, граничный случай был управляемо отклонён, состояние и side effects не изменились. FAIL допустим только при работающем control и наблюдаемом нарушении заявленной гарантии. Unknown обязателен при недоказанной версии, недостижимой ветке, неполной телеметрии, раннем срабатывании limiter или неоднозначном readback. Такая матрица отделяет наблюдение от догадки и позволяет другому инженеру повторить проверку без доступа к исходной среде.
Исправление и безопасная последовательность rollout
Если получен affected_candidate или воспроизводимый FAIL, выберите поддерживаемую upstream-ветку с исправлением; ориентир inventory: code.vikunja.io/api: <= 2.3.0; первая исправленная версия: 2.4.0. Сначала сохраните lock/digest и fixture, затем измените только компонент, повторите benign и boundary cases, проверьте readback и лишь потом переходите к canary. Не смешивайте обновление с заменой proxy, прав, storage и формата данных: это разрушает причинность. Защитный фильтр может быть временной мерой, но не заменяет исправление. Stop-rule этого материала: bucket или task сменил чужой parent, возникла запись вне fixtures либо audit не связывает actor. При его срабатывании тест немедленно прекращается, артефакты изолируются, production не меняется.
Пакет доказательств для владельца Vikunja
В handoff включите GHSA-569v-q83c-3j3g, границу «code.vikunja.io/api: <= 2.3.0; первая исправленная версия: 2.4.0», artifact digest, source revision, feature state, hash fixture, лимиты, результаты control и boundary-case, одну строку из таблицы «actor | task project | target view | HTTP | persisted parent | verdict», итог PASS/FAIL/Unknown и точную причину Unknown. Добавьте ссылки на GitHub Advisory Database и upstream advisory/fix, но не копируйте длинные фрагменты. Отдельной строкой укажите, что проверялась боль «project_view_id в запросе может переместить bucket в чужой tenant», а не весь продукт. Уберите hostname, IP, usernames, cookies, tokens, конфиги и содержимое пользовательских объектов. Так evidence остаётся минимальным, проверяемым и пригодным для повторного решения. Для машиночитаемого журнала используйте независимые ключи `vikunja-kanban-bucket-tenant-boundary-check-inventory-proof`, `vikunja-kanban-bucket-tenant-boundary-check-benign-control`, `vikunja-kanban-bucket-tenant-boundary-check-boundary-observation`, `vikunja-kanban-bucket-tenant-boundary-check-state-readback`, `vikunja-kanban-bucket-tenant-boundary-check-sideeffect-diff`, `vikunja-kanban-bucket-tenant-boundary-check-stop-trigger`, `vikunja-kanban-bucket-tenant-boundary-check-final-verdict` и `vikunja-kanban-bucket-tenant-boundary-check-cleanup-proof`. Они не должны содержать значения секретов; это только имена полей, позволяющие не спутать доказательства этой проверки с соседними карточками.
Материал подготовлен редакцией VOne с помощью ИИ; даты, версии, первичные источники, обратимый fixture, stop-rule, privacy-ограничения и отсутствие рекламных обещаний перепроверены человеком.
Источники и проверка
- GitHub Advisory Database GHSA-569v-q83c-3j3g проверено 2026-09-01
- Primary upstream source for Vikunja проверено 2026-09-01
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.