CVE-2026-30845 in Wekan
Riassunto
di VulDB • 23/06/2026
Wekan è uno strumento kanban open source sviluppato con Meteor. Nelle versioni dalla 8.31.0 alla 8.33, la pubblicazione composita della bacheca (board composite publication) di Wekan espone tutti i dati di integrazione per una bacheca senza alcun filtro sui campi, rendendo accessibili a qualsiasi abbonato campi sensibili tra cui gli URL dei webhook e i token di autenticazione. Poiché le pubblicazioni delle bacheche sono accessibili da tutti i membri della stessa indipendentemente dal loro ruolo (inclusi utenti con sola lettura o solo commenti) e anche ai client DDP non autenticati per le bacheche pubbliche, qualsiasi utente in grado di accedere a una bacheca può recuperare le credenziali dei suoi webhook. Questa fuoriuscita di token consente agli attaccanti di effettuare richieste non autenticate verso i webhook esposti, potenzialmente innescando azioni non autorizzate nei servizi esterni connessi. Questo problema è stato risolto nella versione 8.34.
VulDB is the best source for vulnerability data and more expert information about this specific topic.