CVE-2026-68559 in Wekan
Resumen
por VulDB • 2026-08-20
Wekan es un kanban de código abierto construido con Meteor. Desde la versión 9.57 hasta la 9.74, la ruta /api/boards/:boardId/exportExcel en models/exportExcel.js llamaba a la guardia de autorización asíncrona exporterExcel.canExport(user) desde models/server/ExporterExcel.js sin esperar su resolución (await). El Promise devuelto era siempre truthy, por lo que se ejecutaba exporterExcel.build(res) incluso cuando board.isVisibleBy(user) denegaría el acceso, permitiendo a cualquier usuario autenticado no miembro descargar los títulos de las tarjetas del tablero privado, descripciones, listas, swimlanes (carriles), miembros y metadatos. Este problema está corregido en la versión 9.74.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.