CVE-2026-68558 in Wekan
要約
〜によって VulDB • 2026年08月20日
Wekan は Meteor を使用して構築されたオープンソースの kanban です。バージョン 8.36 から 9.74 の間、models/integrations.js 内の送信 Webhook インテグレーション URL バリデーターは、正規表現に対して literal な URL.hostname のみをチェックしていたため、169-254-169-254.nip.io などの DNS 名が最初の行のチェックを通過しました。配信パスにおける fetchSafe ガードは報告された IPv4 宛先を既にブロックしていましたが、その個別の IPv4専用リゾルバーと重複したブロックリストにより、全アドレスファミリーに対する一貫性のない適用および入力時と接続時の検証間のドリフトリスクが生じていました。バージョン 9.74 では、server/lib/ssrfGuard.js が `dns.lookup({ all: true })` を使用してすべてのアドレスを解決し、共有の isIpBlocked ロジックを通じて各結果を検証し、接続を固定（pin）し、リダイレクトをブロックします。この問題はバージョン 9.74 で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.