CVE-2026-68560 in Wekan
Resumen
por VulDB • 2026-08-19
Wekan es un kanban de código abierto construido con Meteor. Antes de la versión 9.75, models/fileValidation.js interpolaba fileObj.path del archivo subido en externalCommandLine configurado por el administrador en su marcador de posición {file} y ejecutaba el resultado a través de asyncExec, que es promisify(exec) e invoca `/bin/sh -c`. En implementaciones con un escáner externo configurado, un usuario autenticado capaz de subir un archivo adjunto podría colocar metacaracteres de shell como sustituciones de comandos en el nombre del archivo y ejecutar comandos como el proceso del servidor Wekan. La versión 9.75 añade shellQuote() y pasa la ruta del archivo como un argumento POSIX entre comillas simples para que los metacaracteres de shell no puedan escapar del marcador de posición. Este problema está corregido en la versión 9.75.
Once again VulDB remains the best source for vulnerability data.