Vikunja 2.4.0 est sortie le 19 juillet 2026, un peu plus de trois mois et 1093 commits après la 2.3.0 (dont 156 mises à jour de dépendances). Deux choses y comptent plus que tout le reste. Dix vulnérabilités de sécurité sont corrigées, dont plusieurs franchement vilaines. Et le projet se met à facturer des fonctionnalités sur les instances auto-hébergées, ce qui va occuper la communauté self-hosting un bon moment.
Le volet sécurité se règle vite : mettez à jour. Le volet Pro mérite une lecture posée, parce qu’une bonne partie des réactions va déjà plus loin que ce qui a réellement été annoncé.
Dix correctifs de sécurité, la plupart signalés de l’extérieur
Le mainteneur écrit dans le changelog « please update as soon as you can ». La majorité des dix problèmes ont été remontés par des chercheurs externes. Ils se répartissent en deux groupes.
Le premier groupe concerne le contrôle d’accès sur les projets et les tableaux kanban :
- N’importe quel utilisateur pouvait lire et compléter les tâches de n’importe qui via la vue kanban. L’endpoint de déplacement de tâche vérifiait l’accès à la colonne cible, mais jamais l’accès à la tâche elle-même (CVE-2026-55066).
- Un lien de partage pouvait lire la structure de n’importe quel tableau kanban, noms de colonnes et créateurs compris. De quoi énumérer presque tous les utilisateurs de l’instance, sans toutefois accéder au contenu des tâches.
- La disposition de n’importe quel tableau kanban pouvait être effacée. Récupération possible uniquement depuis une sauvegarde (CVE-2026-55065).
- Un projet pouvait être dupliqué dans la hiérarchie d’un autre utilisateur. Celle-ci a été trouvée en interne (CVE-2026-54766).
- Des colonnes pouvaient être ajoutées au tableau kanban d’autrui (CVE-2026-55067).
- Un projet partagé pouvait être détaché sans droits admin (CVE-2026-55064).
Le second groupe touche à l’authentification et aux identifiants. C’est la moitié la plus sérieuse :
- Les jetons d’API d’autres utilisateurs pouvaient être créés et supprimés, par collision d’identifiant interne provoquée en créant des liens de partage à répétition.
- Prise de contrôle de compte via le repli e-mail OIDC (CVE-2026-62367). Avec l’option « email fallback » activée, qui n’est pas celle par défaut, Vikunja liait une connexion SSO à un compte local par adresse e-mail sans vérifier que le fournisseur l’avait validée. Résultat : une prise de contrôle sans mot de passe.
- Les liens de réinitialisation de mot de passe étaient stockés en clair (CVE-2026-62376). Jetons de reset, de confirmation d’e-mail et de suppression de compte dormaient tous non hachés en base. Ils sont désormais hachés au repos.
- Un jeton d’API limité pouvait se promouvoir en session complète (CVE-2026-57458).
Rien de tout ça n’exige une installation exotique pour mordre. Si votre instance héberge plus d’un compte, ou si un lien de partage a été distribué à quelqu’un hors du foyer, les seuls bugs kanban justifient de patcher cette semaine. Le détail figure dans le changelog officiel de la 2.4.0, et les binaires signés sont sur la page de release GitHub.
Ce qu’active une clé de licence Vikunja Pro
Vikunja Pro est la première offre payante du projet pour les instances auto-hébergées, activée par une clé de licence. Trois fonctionnalités arrivent avec elle en 2.4.0 :
- Un panneau d’administration pour gérer utilisateurs et projets à l’échelle de l’instance : lister les comptes, promouvoir des admins d’instance, désactiver ou supprimer un compte, réinitialiser un mot de passe.
- Le suivi du temps, avec des entrées par tâche, un minuteur, un badge dans l’en-tête doublé d’un indicateur sur le favicon, et des rapports.
- Les journaux d’audit.
Pro est sur liste d’attente uniquement pour l’instant, avec une ouverture progressive dans les semaines qui suivent. D’après le changelog, 191 personnes avaient rejoint la liste avant même que l’annonce publique ne sorte.
Ce qui ne bouge pas, selon le mainteneur
kolaente attendait visiblement les questions et y a répondu dans son billet de sortie. Ce sont ses engagements, pas notre appréciation :
- Rien n’a été retiré. Le Vikunja gratuit sous AGPLv3 est exactement aussi capable qu’en 2.3.0.
- Aucune fonctionnalité existante n’est passée derrière un paywall.
- Sans clé de licence, aucune fonction Pro n’apparaît et l’application tourne comme avant, sans même une incitation à acheter.
- Le code Pro vit dans le même dépôt public, sous la même licence AGPLv3. La clé ne fait qu’allumer les fonctionnalités.
- Si vous arrêtez de payer, Vikunja continue de tourner et vos données restent en place. Seules les fonctions Pro s’éteignent.
- Le SSO et le LDAP restent gratuits, et l’ont toujours été.
- Les fonctionnalités classiques de gestion de tâches continuent d’arriver dans la version gratuite.
Il présente ce modèle de licence comme le principal moyen de financer la suite du travail sur Vikunja et de rendre le projet soutenable. Est-ce que ça passera bien auprès d’une communauté qui a déjà vu d’autres projets auto-hébergés emprunter cette porte ? C’est une autre question, et elle se jugera sur les prochaines versions plutôt qu’aujourd’hui.
Une deuxième API, la première toujours supportée
Tous les endpoints ont été portés vers une nouvelle API v2. Le design est plus propre et plus cohérent, la documentation se parcourt sur /api/v2/docs, les réponses d’erreur sont structurées et les mises à jour partielles passent par PATCH. L’API v1 reste pleinement supportée pour l’instant, mais finira par disparaître. Si vous démarrez un client aujourd’hui, visez la v2.
Le reste de la version
Les descriptions de tâches sont désormais en Markdown. Sur l’API v2, vous les demandez avec ?format=markdown, et en CalDAV elles se synchronisent toujours en Markdown au lieu d’un mur de balises HTML. S’ajoutent l’autocomplétion d’emoji en tapant : suivi d’un shortcode, les réponses aux commentaires, et des comptes « bot users » pour les scripts et intégrations : pas de connexion par mot de passe, possédés par un utilisateur normal, avatar distinct.
L’accessibilité a droit à un vrai chantier. La navigation clavier atteint maintenant les liens de tâches en vue liste, les cartes kanban, le titre de tâche, les cases à cocher et la barre d’outils de l’éditeur. Les anneaux de focus sont visibles, les couleurs de libellés sont choisies selon le ratio de contraste réel, et les lecteurs d’écran reçoivent des annonces pour l’état de tri et le nombre de résultats.
L’installation se simplifie aussi, avec des dépôts natifs apt, rpm, pacman et apk signés GPG. Debian, Ubuntu, Fedora, RHEL, Arch et Alpine ont chacun droit à une installation en une ligne. Il y a également un nouvel outil en ligne de commande, veans, pour piloter Vikunja depuis un terminal ou un agent : connexion OAuth, tâches résolues par PROJ-NN ou #NN, création, mise à jour, attribution, listing. La recherche est maintenant classée par pertinence sur un backend ParadeDB, le grec et le persan ont été ajoutés, les notifications disposent d’un flux Atom, et n’importe quel jour peut servir de début de semaine.
Côté corrections : les suppressions CalDAV se synchronisent enfin correctement vers Rappels sur iOS, les durées ISO 8601 exprimées en semaines sont gérées, et un projet inexistant renvoie un vrai 404. Les tâches récurrentes retournent dans leur colonne d’origine.
Ce qu’il faut faire
Sauvegardez votre base de données, puis mettez à jour. C’est toute la recommandation pour le volet sécurité, et elle vaut que le sujet Pro vous intéresse ou non. Si vous faites tourner Vikunja derrière un reverse proxy avec des liens de partage distribués à des gens que vous ne connaissez pas parfaitement, traitez la chose comme urgente et non comme de la routine.
Si vous n’avez pas encore essayé l’outil, notre fiche application Vikunja explique ce qu’il fait et comment le déployer. Démarrez directement sur la 2.4.0 plutôt que sur un tag plus ancien.