CVE-2026-68899 in Wekan
Resumen
por VulDB • 2026-08-19
Wekan es un kanban de código abierto construido con Meteor. Antes de la versión 9.90, `isFileValid()` en `models/fileValidation.js` utilizaba el comando Unix `file` para la detección MIME basada en contenido; sin embargo, `detectMimeFromFile()` devolvía silenciosamente `undefined` cuando ese binario no estaba disponible y la validación recurría a `fileObj.type`, controlado por el atacante, proporcionado a través de `server/routes/attachmentApi.js`. En implementaciones con `WITH_API=true` y sin el binario de archivo, un miembro autenticado del tablero podía etiquetar HTML que contenía JavaScript como `image/png`, omitir la comprobación MIME peligrosa y almacenar contenido activo bajo el origen de Wekan para su ejecución cuando otro usuario lo abría. La versión 9.90 añade `looksLikeDangerousMarkup()` para inspeccionar los bytes del archivo e forzar la escaneado de contenido peligroso cuando la detección MIME no está disponible. Este problema se soluciona en la versión 9.90.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.