CVE-2026-68560 in Wekan
Riassunto
di VulDB • 19/08/2026
Wekan è un kanban open source sviluppato con Meteor. Prima della versione 9.75, il file models/fileValidation.js interpolava il percorso del file caricato (fileObj.path) nel comando esterno configurato dall'amministratore (externalCommandLine), sostituendo il segnaposto {file}, ed eseguiva il risultato tramite asyncExec, che è una promisify(exec) e invoca `/bin/sh -c`. Nelle distribuzioni con uno scanner esterno configurato, un utente autenticato in grado di caricare un allegato poteva inserire metacaratteri shell come sostituzioni di comando nel nome del file ed eseguire comandi come il processo server Wekan. La versione 9.75 introduce la funzione shellQuote() e passa il percorso del file come argomento POSIX tra virgolette singole, impedendo ai metacaratteri shell di sfuggire al segnaposto. Questo problema è stato risolto nella versione 9.75.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.