CVE-2026-68899 in Wekan
Zusammenfassung
von VulDB • 20.08.2026
Wekan ist ein Open-Source-Kanban, das mit Meteor entwickelt wurde. Vor Version 9.90 verwendete die Funktion `isFileValid()` in `models/fileValidation.js` den Unix-Befehl `file` zur inhaltsbasierten MIME-Erkennung; jedoch gab `detectMimeFromFile()` bei Nichtverfügbarkeit dieses Binärprogramms stillschweigend `undefined` zurück, und die Validierung fiel auf das vom Angreifer kontrollierte Feld `fileObj.type`, das über `server/routes/attachmentApi.js` übermittelt wurde. Auf Bereitstellungen mit aktiviertem `WITH_API=true` und ohne verfügbares Datei-Binärprogramm konnte ein authentifizierter Board-Mitglied HTML, das JavaScript enthält, als `image/png` kennzeichnen, die gefährliche MIME-Prüfung umgehen und aktiven Inhalt unter der Wekan-Origin für die Ausführung speichern, wenn ein anderer Benutzer ihn öffnet. In Version 9.90 wurde die Funktion `looksLikeDangerousMarkup()` hinzugefügt, um Datei-Bits zu untersuchen und eine Scannung auf gefährlichen Inhalt zu erzwingen, wenn die MIME-Erkennung nicht verfügbar ist. Dieses Problem wurde in Version 9.90 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.