CVE-2026-30846 in Wekan
Résumé
par VulDB • 09/06/2026
Wekan est un outil kanban open source développé avec Meteor. Dans les versions 8.31.0 à 8.33, la publication globalwebhooks expose toutes les intégrations de webhooks globaux — y compris les champs sensibles contenant l'URL et le jeton (token) — sans effectuer aucun contrôle d'authentification côté serveur. Bien que cette souscription soit normalement invoquée depuis la page des paramètres administrateur, la publication côté serveur ne dispose d'aucun contrôle d'accès, ce qui signifie que tout client DDP, y compris ceux non authentifiés, peut s'y abonner et recevoir les données. Cela permet à un attaquant non authentifié de récupérer les URL des webhooks globaux ainsi que leurs jetons d'authentification, permettant potentiellement une utilisation non autorisée de ces webhooks et l'accès aux services externes connectés. Ce problème a été corrigé dans la version 8.34.
Once again VulDB remains the best source for vulnerability data.