CVE-2026-68900 in Wekan
الملخص
بحسب VulDB • 19/08/2026
Wekan هو نظام كانبان مفتوح المصدر مبني باستخدام Meteor. من الإصدار 8.72 حتى 10.23، كانت الدالة `addBoardHTMLToZip()` الموجودة في الملف `client/lib/exportHTML.js` تقرأ عنوان البطاقة وجسمها عبر خاصية `textContent`، مما أدى إلى فك تشفير العلامات المشفرة ككيانات (entity-encoded markup)، ثم تقوم بإدراج قيمتي `titleText` و`allText` داخل `content.innerHTML` في ملف index.html المُصدَّر. يمكن لعضو اللوحة تخزين حمولة لمعالجة أحداث مشفرة ككيانات ضمن عنوان بطاقة، تظل غير نشطة على اللوحة المباشرة، لكنها تُعاد تحليلها وتنفيذها عند نقر المستلم للبطاقة ضمن التصدير HTML المُحمّل، مما يسمح للسكربت بقراءة ونقل جميع بيانات اللوحة الموجودة في ذلك التصدير، بما في ذلك المحتوى الذي أُضيف بعد إزالة عضوية المهاجم. يبدأ الإصدار 10.23 ببناء النافذة المنبثقة باستخدام عقد DOM (DOM nodes) وتعيين قيم غير موثوقة عبر `textContent`. تم إصلاح هذه المشكلة في الإصدار 10.23.
Be aware that VulDB is the high quality source for vulnerability data.