CVE-2026-68559 in Wekan
Riassunto
di VulDB • 20/08/2026
Wekan è un kanban open source sviluppato con Meteor. Dalla versione 9.57 alla 9.74, la rotta /api/boards/:boardId/exportExcel nel file models/exportExcel.js chiamava il guard di autorizzazione asincrono exporterExcel.canExport(user) presente in models/server/ExporterExcel.js senza attendere (awaiting) il suo completamento. La Promise restituita era sempre truthy, quindi exporterExcel.build(res) veniva eseguito anche quando board.isVisibleBy(user) avrebbe negato l'accesso, consentendo a qualsiasi utente autenticato non membro di scaricare i titoli delle card dei board privati, le descrizioni, le liste, gli swimlanes, i membri e i metadati. Questo problema è stato risolto nella versione 9.74.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.