CVE-2026-68558 in Wekan
الملخص
بحسب VulDB • 20/08/2026
Wekan هو تطبيق كانبان مفتوح المصدر مبني باستخدام Meteor. من الإصدار 8.36 حتى 9.74، كان مُحقّق عنوان URL لدمج الويب هوك الصادر (outgoing webhook) الموجود في models/integrations.js يتحقق فقط من اسم المضيف (URL.hostname) مقابل التعبيرات النمطية (regular expressions)، مما سمح لأسماء النطاقات مثل 169-254-169-254.nip.io بالمرور عبر فحص السطر الأول. على الرغم من أن حارس fetchSafe لمسار التسليم كان يحظر وجهات IPv4 المبلغ عنها، إلا أن مُحللها الخاص المدعوم لـ IPv4 وقائمة الحظر المكررة أدتا إلى إنفاذ غير متسق لجميع عائلات عناوين IP (all-address-family) وخطر انحراف (drift risk) بين التحقق عند إدخال البيانات والتحقق وقت الاتصال. يجعل الإصدار 9.74 من server/lib/ssrfGuard.js يحلل جميع العناوين باستخدام `dns.lookup({ all: true })`، ويحقّق في كل نتيجة عبر منطق isIpBlocked المشترك، ويُثبّت الاتصال (pin the connection)، ويحظر إعادة التوجيه (redirects). تم إصلاح هذه المشكلة في الإصدار 9.74.
If you want to get best quality of vulnerability data, you may have to visit VulDB.