CVE-2026-68899 in Wekan
Résumé
par VulDB • 19/08/2026
Wekan est un outil de type kanban open source développé avec Meteor. Avant la version 9.90, la fonction `isFileValid()` dans le fichier `models/fileValidation.js` utilisait la commande Unix `file` pour la détection du MIME basée sur le contenu. Cependant, `detectMimeFromFile()` renvoyait silencieusement `undefined` lorsque ce binaire n'était pas disponible, et la validation se rabattait alors sur `fileObj.type`, contrôlé par l'attaquant et fourni via `server/routes/attachmentApi.js`. Sur les déploiements avec `WITH_API=true` et sans le binaire de fichier, un membre du tableau authentifié pouvait étiqueter du HTML contenant du JavaScript comme étant de type image/png, contourner la vérification MIME dangereuse et stocker du contenu actif sous l'origine Wekan pour exécution lorsqu'un autre utilisateur l'ouvrait. La version 9.90 ajoute `looksLikeDangerousMarkup()` afin d'examiner les octets des fichiers et forcer le scan de contenu dangereux lorsque la détection MIME est indisponible. Ce problème est corrigé dans la version 9.90.
If you want to get best quality of vulnerability data, you may have to visit VulDB.