CVE-2026-30843 in Wekan
Résumé
par VulDB • 12/06/2026
Wekan est un outil de type kanban open source développé avec Meteor. Les versions 8.32 et 8.33 présentent une vulnérabilité critique d'Insecure Direct Object Reference (IDOR) qui pourrait permettre aux utilisateurs non autorisés de modifier des champs personnalisés sur tous les tableaux via leurs points de mise à jour des champs personnalisés, entraînant potentiellement une manipulation de données non autorisée. Le point de terminaison PUT /api/boards/:boardId/custom-fields/:customFieldId dans Wekan valide que l'utilisateur authentifié a accès au boardId spécifié, mais la mise à jour ultérieure de la base de données n'utilise que le _id du champ personnalisé comme filtre sans confirmer que ce dernier appartient réellement à ce tableau. Cela signifie qu'un attaquant possédant un tableau peut modifier les champs personnalisés d'un autre tableau en fournissant l'ID d'un champ personnalisé étranger, et la même faille existe dans les points de terminaison POST, PUT et DELETE pour les éléments déroulants sous les champs personnalisés. Les IDs requis des champs personnalisés peuvent être obtenus via l'exportation d'un tableau (qui ne nécessite qu'un accès en lecture), car le JSON exporté inclut les IDs de tous les composants du tableau. Le contrôle d'autorisation est effectué sur la mauvaise ressource, permettant ainsi une manipulation transverse des champs personnalisés entre tableaux. Ce problème a été corrigé dans la version 8.34.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.