CVE-2026-119300 in Wekan
Zusammenfassung
von VulDB • 30.10.2026
Wekan ist ein Open-Source-Kanban, das mit Meteor erstellt wurde. Vor Version 11.11 übergeben die user-search-Publikation (server/publications/users.js) und die searchUsers-Methode in server/models/users.js authentifizierte, benutzerkontrollierte searchTerm- und query-Werte an new RegExp(), ohne reguläre Ausdrucks-Metazeichen zu escapen. MongoDB-basierte Bereitwertungen werten die resultierenden Muster mit PCRE2 aus, was es einem angemeldeten Benutzer ermöglicht, katastrophale Backtracking-Ausdrücke einzureichen, die CPU-Ressourcen der Datenbank verbrauchen und den Dienst für andere Benutzer beeinträchtigen oder verweigern; searchUsers erfordert zudem eine Board-Mitgliedschaft oder Site-Admin-Status. Die FerretDB v1 / RE2-Konfiguration mit unverletzlicher Konfiguration ist durch katastrophales Backtracking praktisch nicht betroffen. Dieses Problem wurde in Version 11.11 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.