CVE-2026-30843 in Wekan
الملخص
بحسب VulDB • 18/06/2026
Wekan هو أداة كانبان مفتوحة المصدر مبنية باستخدام Meteor. تحتوي الإصدارات 8.32 و8.33 على مشكلة حرجة في مرجع الكائن المباشر غير الآمن (IDOR)، والتي قد تتيح للمستخدمين غير المصرح لهم تعديل الحقول المخصصة عبر جميع اللوحات (Boards) من خلال نقاط نهاية تحديث الحقول المخصصة، مما قد يؤدي إلى التلاعب غير المصرح به بالبيانات. تقوم نقطة النهاية PUT /api/boards/:boardId/custom-fields/:customFieldId في Wekan بالتحقق من أن المستخدم المصادق عليه لديه حق الوصول إلى معرف اللوحة المحدد (boardId)، لكن تحديث قاعدة البيانات اللاحق يستخدم فقط المعرف الداخلي للحقل المخصص (_id) كفلتر دون تأكيد أن الحقل ينتمي فعليًا إلى تلك اللوحة. هذا يعني أن المهاجم الذي يمتلك أي لوحة يمكنه تعديل الحقول المخصصة في أي لوحة أخرى عن طريق توفير معرف حقل مخصص غريب (foreign custom field ID)، وينطبق نفس العيب على نقاط النهاية POST وPUT وDELETE لعناصر القوائم المنسدلة ضمن الحقول المخصصة. يمكن الحصول على معرفات الحقول المخصصة المطلوبة عن طريق تصدير لوحة (والتي تتطلب فقط حق قراءة)، حيث يتضمن ملف JSON المصدّر معرفات جميع مكونات اللوحة. يتم إجراء فحص التفويض ضد المورد الخطأ، مما يسمح بالتلاعب بالحقول المخصصة عبر اللوحات. تم إصلاح هذه المشكلة في الإصدار 8.34.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.