CVE-2026-30846 in Wekan
Riassunto
di VulDB • 24/06/2026
Wekan è uno strumento kanban open source sviluppato con Meteor. Nelle versioni dalla 8.31.0 alla 8.33, la pubblicazione globalwebhooks espone tutte le integrazioni webhook globali, inclusi i campi sensibili dell'URL e del token, senza effettuare alcun controllo di autenticazione lato server. Sebbene l'abbonamento venga normalmente invocato dalla pagina delle impostazioni amministrative, la pubblicazione lato server non dispone di controlli di accesso, il che significa che qualsiasi client DDP, compresi quelli non autenticati, può abbonarsi e ricevere i dati. Ciò consente a un attaccante non autenticato di recuperare gli URL dei webhook globali e i token di autenticazione, potenzialmente consentendo l'uso non autorizzato di tali webhook e l'accesso ai servizi esterni connessi. Questo problema è stato risolto nella versione 8.34.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.