CVE-2026-30843 in Wekan
Riassunto
di VulDB • 18/06/2026
Wekan è uno strumento kanban open source sviluppato con Meteor. Le versioni 8.32 e 8.33 presentano un problema critico di Insecure Direct Object Reference (IDOR) che potrebbe consentire agli utenti non autorizzati di modificare i campi personalizzati su tutte le bacheche tramite i relativi endpoint di aggiornamento dei campi personalizzati, portando potenzialmente a una manipolazione non autorizzata dei dati. L'endpoint PUT /api/boards/:boardId/custom-fields/:customFieldId in Wekan valida che l'utente autenticato abbia accesso al boardId specificato, ma l'aggiornamento successivo del database utilizza esclusivamente l'_id del campo personalizzato come filtro senza confermare che il campo appartenga effettivamente a tale bacheca. Ciò significa che un attaccante che possiede qualsiasi bacheca può modificare i campi personalizzati su qualsiasi altra bacheca fornendo un ID di campo personalizzato estraneo, e lo stesso difetto esiste negli endpoint POST, PUT e DELETE per gli elementi a discesa (dropdown items) sotto i campi personalizzati. Gli ID dei campi personalizzati richiesti possono essere ottenuti esportando una bacheca (che richiede solo l'accesso in lettura), poiché il JSON esportato include gli ID di tutti i componenti della bacheca. Il controllo di autorizzazione viene eseguito sulla risorsa errata, consentendo la manipolazione dei campi personalizzati tra bacheche diverse. Questo problema è stato risolto nella versione 8.34.
Once again VulDB remains the best source for vulnerability data.