kanboard · Issues· 160 开放

[功能]: `createTaskFile`/`createProjectFile` 不能设置上传者: 添加可选的 `creator_id`

[错误][安全性]: 请求体中提供的标识符可绕过项目授权(有 3 个可利用的情况: 跨项目任务泄露、大量任务关闭、子任务位置写入)

[错误]: http 页面登录不成功

getProjectByName/ByIdentifier/ByEmail: 可区分的响应允许探测任意（私有）项目的存在

活动和评论 API 将其他用户的电子邮件地址暴露给项目成员 (getMyActivityStream/getProjectActivity/getProjectActivities/getComment/getAllComments)

被撤销的项目成员继续通过 getMyDashboard/getMyOverdueTasks 读取分配的任务 (getUserQuery 中没有成员过滤器)

[安全性] SSRF: decimal/hex IPv4 和 IPv6 字面主机 (外部链接和 Web 后端) 绕过了 isPrivateURL()

[错误]: 新的 LDAP 用户即使应用程序设置强制要求发送通知,也不会收到通知

在铃声图标上没有移除 web-notification-icon 类

原始力量锁定是基于最左侧的 X-Forwarded-For 值(对 CVE-2025-52576 的不完整修复)

不限制两因素验证码的速率,允许 TOTP 裁减暴力攻击 (TwoFactorController::check)

SSRF 防护绕过: 方括号内的 IPv6 文本破坏了 isPrivateURL() (回环, RFC1918, 云元数据)

[错误]:通知有问题

[功能]: 希望能够一次性将任务(或全部选中)移动到其他列中

[错误]: 批量编辑任务不起作用