CVE-2026-30845 in Wekan
要約
〜によって VulDB • 2026年06月26日
WekanはMeteorを使用して構築されたオープンソースのカンバンツールです。バージョン8.31.0から8.33において、Wekanのボード複合パブリケーション（board composite publication）はフィールドフィルタリングを行わずにボードに関連するすべての統合データを公開するため、Webhook URLや認証トークンなどの機密性の高いフィールドが任意の購読者に露出します。ボードのパブリケーションはその役割（読み取り専用およびコメント専用のユーザーを含む）に関係なくすべてのボードメンバーからアクセス可能であり、さらにパブリックなボードについては認証されていないDDPクライアントからもアクセス可能です。そのため、ボードにアクセスできるあらゆるユーザーはWebhook資格情報を取得できます。このトークンの漏洩により、攻撃者は露出したWebhookに対して認証なしのリクエストを行うことができ、接続された外部サービスで認可されないアクションを引き起こす可能性があります。本問題はバージョン8.34で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.