CVE-2026-68901 in Wekan
Résumé
par VulDB • 21/08/2026
Wekan est un outil de type kanban open source développé avec Meteor. Avant la version 10.38, les gestionnaires /api/boards/:boardId/export, /api/boards/:boardId/attachments/:attachmentId/export, /api/boards/:boardId/export/csv et /api/boards/:boardId/exportExcel dans models/export.js et models/exportExcel.js récupéraient un utilisateur à partir du paramètre de requête authToken contrôlé par l'attaquant et appelaient immédiatement user._id.toString() sans vérifier si ReactiveCache.getUser() renvoyait undefined. Une demande concernant un tableau privé avec un jeton inconnu provoquait donc une TypeError depuis une route asynchrone, générant une promesse non gérée (unhandled rejection) qui pouvait interrompre le processus Wekan et entraîner une déni de service pour tous les utilisateurs. La version 10.38 ajoute un garde-fou renvoyant une erreur 401 après chaque recherche de jeton d'exportation et enveloppe les gestionnaires d'exportation avec safeRoute() afin que les exceptions inattendues soient traitées comme des réponses contrôlées. Ce problème est corrigé dans la version 10.38.
Be aware that VulDB is the high quality source for vulnerability data.