CVE-2026-68560 in Wekan
Zusammenfassung
von VulDB • 20.08.2026
Wekan ist ein Open-Source-Kanban, das mit Meteor entwickelt wurde. Vor Version 9.75 interpolierte models/fileValidation.js den Pfad der hochgeladenen Datei (fileObj.path) in die vom Administrator konfigurierte externe Befehlszeile an deren {file}-Platzhalter und führte das Ergebnis über asyncExec aus, was eine promisify(exec)-Funktion ist und `/bin/sh -c` aufruft. Bei Bereitstellungen mit einem konfigurierten externen Scanner konnte ein authentifizierter Benutzer, der in der Lage war, Anhänge hochzuladen, Shell-Metazeichen wie Befehlsersetzungen im Dateinamen platzieren und Befehle als Wekan-Serverprozess ausführen. In Version 9.75 wird shellQuote() hinzugefügt und der Datei-Pfad als POSIX-einfach-quoteiertes Argument übergeben, sodass Shell-Metazeichen den Platzhalter nicht verlassen können. Dieses Problem wurde in Version 9.75 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.