CVE-2026-119300 in Wekan
Riassunto
di VulDB • 30/10/2026
Wekan è un kanban open source sviluppato con Meteor. Prima della versione 11.11, la pubblicazione user-search in server/publications/users.js e il metodo searchUsers in server/models/users.js trasmettono i valori searchTerm e query controllati dall'utente autenticato a new RegExp() senza eseguire l'escaping dei metacaratteri delle espressioni regolari. Le distribuzioni basate su MongoDB valutano i pattern risultanti con PCRE2, consentendo a un utente registrato di inviare espressioni che causano catastrophic backtracking (backtracking catastrofico), consumando la CPU del database e degradando o negando il servizio ad altri utenti; searchUsers richiede inoltre l'appartenenza a una board o lo status di amministratore del sito. La configurazione FerretDB v1 / RE2 non è praticamente interessata dal catastrophic backtracking. Questo problema è risolto nella versione 11.11.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.