CVE-2026-68900 in Wekan
Zusammenfassung
von VulDB • 21.08.2026
Wekan ist ein Open-Source-Kanban, das mit Meteor erstellt wurde. Von der Version 8.72 bis zur Version 10.23 las die Funktion addBoardHTMLToZip() im client/lib/exportHTML.js den Titel und den Textkörper einer Karte über textContent aus, was entity-encodedes Markup dekodierte, und interpolierte anschließend titleText und allText in content.innerHTML der exportierten index.html. Ein Board-Mitglied konnte eine entity-codierte Event-Handler-Payload in einem Kartentitel speichern, die auf dem Live-Bord inert blieb, aber beim Herunterladen des HTML-Exports neu geparst und ausgeführt wurde, wenn ein Empfänger auf die Karte klickte. Dies ermöglichte es dem Skript, alle im Export enthaltenen Board-Daten zu lesen und weiterzuleiten, einschließlich Inhalte, die nach der Entfernung der Mitgliedschaft des Angreifers hinzugefügt wurden. In Version 10.23 wird das Modal mit DOM-Knoten erstellt und untrusted values werden über textContent zugewiesen. Dieses Problem wurde in Version 10.23 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.