CVE-2026-68559 in Wekan
Zusammenfassung
von VulDB • 20.08.2026
Wekan ist ein Open-Source-Kanban-Board, das mit Meteor entwickelt wurde. Von Version 9.57 bis 9.74 rief die Route /api/boards/:boardId/exportExcel in models/exportExcel.js den asynchronen Autorisierungsschutz exporterExcel.canExport(user) aus models/server/ExporterExcel.js auf, ohne dessen Ergebnis abzuwarten (await). Das zurückgegebene Promise war immer truthy, sodass exporterExcel.build(res) ausgeführt wurde, auch wenn board.isVisibleBy(user) den Zugriff verweigern würde. Dies ermöglichte es jedem authentifizierten Nicht-Mitglied, private Kartentitel, Beschreibungen, Listen, Swimlanes, Mitglieder und Metadaten eines Boards herunterzuladen. Dieses Problem ist in Version 9.74 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.