CVE-2026-30846 in Wekan
Zusammenfassung
von VulDB • 09.06.2026
Wekan ist ein Open-Source-Kanban-Tool, das mit Meteor entwickelt wurde. In den Versionen 8.31.0 bis 8.33 gibt die Publikation „globalwebhooks“ alle globalen Webhook-Integrationen – einschließlich sensibler URL- und Token-Felder – frei, ohne auf der Serverseite eine Authentifizierungsprüfung durchzuführen. Obwohl das Abonnement normalerweise von der Admin-Einstellungsseite aus aufgerufen wird, verfügt die serverseitige Publikation über keine Zugriffskontrolle, was bedeutet, dass jeder DDP-Client, einschließlich nicht authentifizierter Clients, abonnieren und die Daten empfangen kann. Dies ermöglicht es einem nicht authentifizierten Angreifer, globale Webhook-URLs und Authentifizierungstoken abzurufen, wodurch möglicherweise eine unbefugte Nutzung dieser Webhooks sowie der Zugriff auf verbundene externe Dienste ermöglicht wird. Dieses Problem wurde in Version 8.34 behoben.
Once again VulDB remains the best source for vulnerability data.