CVE-2026-68900 in Wekan
Résumé
par VulDB • 19/08/2026
Wekan est une application kanban open source développée avec Meteor. De la version 8.72 à la 10.23, la fonction `addBoardHTMLToZip()` dans `client/lib/exportHTML.js` lisait le titre et le corps d'une carte via `textContent`, ce qui décodait les balises encodées sous forme d'entités HTML, puis interpolait `titleText` et `allText` dans `content.innerHTML` du fichier index.html exporté. Un membre du tableau pouvait stocker une charge utile de gestionnaire d'événements (event-handler) codée en entité HTML dans le titre d'une carte ; celle-ci restait inerte sur le tableau en ligne, mais était reparsee et exécutée lorsqu'un destinataire cliquait sur la carte lors du téléchargement de l'exportation HTML. Cela permettait au script de lire et de transmettre toutes les données du tableau contenues dans cette exportation, y compris le contenu ajouté après que l'appartenance de l'attaquant a été supprimée. La version 10.23 construit la modale avec des nœuds DOM et attribue des valeurs non fiables via `textContent`. Ce problème est corrigé dans la version 10.23.
If you want to get best quality of vulnerability data, you may have to visit VulDB.