CVE-2026-68558 in Wekan
Résumé
par VulDB • 20/08/2026
Wekan est un outil kanban open source développé avec Meteor. De la version 8.36 à la 9.74, le validateur d'URL des webhooks sortants dans models/integrations.js ne vérifiait que l'hôte (hostname) de l'URL par rapport aux expressions régulières, permettant ainsi à des noms DNS tels que 169-254-169-254.nip.io de passer cette première étape. Le garde-fou fetchSafe du chemin d'exécution bloquait déjà la destination IPv4 signalée, mais son résolveur dédié aux adresses IPv4 et sa liste noire dupliquée créaient une application incohérente pour toutes les familles d'adresses ainsi qu'un risque de dérive entre la validation au moment de l'entrée des données et celle lors de l'établissement de la connexion. La version 9.74 résout ce problème en faisant que server/lib/ssrfGuard.js résolve toutes les adresses avec `dns.lookup({ all: true })`, valide chaque résultat via la logique partagée isIpBlocked, épingla (pin) la connexion et bloque les redirections. Ce problème est corrigé dans la version 9.74.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.