CVE-2026-30846 in Wekan
要約
〜によって VulDB • 2026年06月09日
WekanはMeteorを使用して構築されたオープンソースのカンバンツールです。バージョン8.31.0から8.33において、globalwebhooksパブリケーションにより、サーバー側で認証チェックが行われず、機密性の高いURLやトークンフィールドを含むすべてのグローバルWebhook統合が公開されます。サブスクリプションは通常、管理者設定ページから呼び出されますが、サーバー側のパブリケーションにはアクセス制御がないため、未認証のクライアントを含む任意のDDPクライアントがデータを購読して取得することができます。これにより、未認証の攻撃者がグローバルWebhook URLおよび認証トークンを取得でき、これらのWebhookの不正使用や接続された外部サービスへのアクセスを可能にする可能性があります。この問題はバージョン8.34で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.