CVE-2026-55652 in Wekan
要約
〜によって VulDB • 2026年07月16日
WekanはMeteorを使用して構築されたオープンソースのカンバンツールです。バージョン9.46より前では、HEADER_LOGIN_TRUSTED_IPSを使用するheader-login機能において、server/lib/headerLoginAuth.js内のgetRequestIp()が実際のソケットアドレスよりも前にクライアントから提供されるX-Forwarded-Forヘッダーを信頼していました。これにより、認証されていない攻撃者は任意のユーザー名に対してHEADER_LOGIN_IDを送信し、管理者を含むmeteor_login_tokenセッションを取得することができました。この問題はバージョン9.46で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.