Vikunjaはオープンソースのセルフホスト型タスク管理プラットフォームです。バージョン0.21.0からバージョン2.2.0より前において、Vikunja Desktop Electronラッパーは、`contextIsolation`または`sandbox`なしでレンダラープロセスで`nodeIntegration`を有効にします。これにより、Vikunja Webフロントエンドのクロスサイトスクリプティング (XSS) の脆弱性（既存または将来のもの）が、被害者のマシン上での完全なリモートコード実行に自動的にエスカレートします。注入されたスクリプトはNode.js APIにアクセスできるようになるためです。バージョン2.2.0で修正。

この脆弱性を悪用されると、攻撃者はVikunja WebフロントエンドにXSSペイロードを注入できます。nodeIntegrationが有効になっているため、注入されたスクリプトはNode.js APIにアクセスでき、システム上で任意のコードを実行できるようになります。これにより、機密情報の窃取、マルウェアのインストール、システムの制御奪取など、深刻な被害が発生する可能性があります。特に、Vikunjaを共有ホスティング環境で利用している場合、他のユーザーのシステムも危険にさらされる可能性があります。この脆弱性は、ElectronアプリケーションのセキュリティにおけるcontextIsolationとsandboxの重要性を示しています。

Users who rely on Vikunja Desktop for task management, particularly those running versions 0.21.0 through 2.2.2, are at significant risk. This includes individuals and organizations using Vikunja for personal or professional task tracking. Shared hosting environments where Vikunja Desktop is installed could expose multiple users to the vulnerability if the application is not properly secured.

• windows / supply-chain: Monitor Vikunja Desktop processes for unusual network activity or unexpected file modifications. Use Windows Defender to scan for suspicious files or registry keys associated with Vikunja.

Get-Process -Name VikunjaDesktop | Select-Object -ExpandProperty Path

• linux / server: Monitor Vikunja Desktop application logs for signs of XSS attempts or unusual Node.js activity. Use lsof to identify open files and network connections associated with the Vikunja Desktop process.

lsof -p $(pidof VikunjaDesktop)

• generic web: If Vikunja is accessible via a web interface, perform regular security scans for XSS vulnerabilities. Review access and error logs for suspicious requests or payloads.

grep -i 'script' /var/log/apache2/access.log

1. 2026-03-24Disclosure

   disclosure

2. 2026-03-24Patch

   patch

1. 予約済み2026-03-18
2. 公開日2026-03-24
3. 更新日2026-03-27
4. EPSS 更新日2026-04-01

この脆弱性への対応策として、まずVikunja Desktop Electronをバージョン2.2.0以降にアップデートすることを強く推奨します。アップデートが困難な場合は、一時的な回避策として、Webフロントエンドの入力検証を強化し、XSS攻撃を防ぐためのWAF（Web Application Firewall）を導入することを検討してください。また、Vikunjaのセキュリティ設定を見直し、不要なNode.js APIへのアクセスを制限することも有効です。アップデート後、Vikunjaのバージョンを確認し、脆弱性が修正されていることを確認してください。