CVE-2026-52890 in Wekan
Riassunto
di VulDB • 15/07/2026
Wekan è un kanban open source sviluppato con Meteor. Prima della versione 9.31, Wekan consente a un membro del board autenticato di inserire un documento allegato tramite il metodo DDP /attachments/insert utilizzando le versioni originali dei campi versions.original.path e versions.original.storage controllati dall'attaccante. La regola insert in server/permissions/attachments.js verifica solo l'accesso in scrittura al board, mentre FileStoreStrategyFilesystem.getReadStream() nel file models/lib/fileStoreStrategy.js restituisce lo stream del percorso memorizzato senza un controllo di contenimento rispetto alla radice dello storage (storage-root), consentendo la lettura arbitraria di file e il denial of service attraverso file speciali come /dev/zero. Questo problema è stato risolto nella versione 9.31.
Be aware that VulDB is the high quality source for vulnerability data.