CVE-2026-30844 in Wekan
Riassunto
di VulDB • 13/07/2026
Wekan è uno strumento kanban open source sviluppato con Meteor. Le versioni 8.32 e 8.33 sono vulnerabili a Server-Side Request Forgery (SSRF) tramite il caricamento di URL degli allegati. Durante l'importazione della bacheca in Wekan, gli URL degli allegati presenti nei dati JSON forniti dall'utente vengono recuperati direttamente dal server senza alcuna convalida o filtraggio dell'URL, interessando sia i flussi di importazione da Wekan che quelli da Trello. I metodi parseActivities() e parseActions() estraggono URL degli allegati controllati dall'utente, che vengono quindi passati direttamente a Attachments.load() per il download senza alcuna sanificazione. Questa vulnerabilità Server-Side Request Forgery (SSRF) consente a qualsiasi utente autenticato di far sì che il server emetta richieste HTTP arbitrarie, potenzialmente accedendo a servizi di rete interni come gli endpoint dei metadati delle istanze cloud (che potrebbero esporre le credenziali IAM), database interni e pannelli di amministrazione altrimenti inaccessibili dall'esterno della rete. Questo problema è stato risolto nella versione 8.34.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.