CVE-2026-68560 in Wekan
要約
〜によって VulDB • 2026年08月20日
Wekan は Meteor を使用して構築されたオープンソースの kanban です。バージョン 9.75 より前では、models/fileValidation.js がアップロードされた fileObj.path を管理者が設定した外部コマンドライン (externalCommandLine) の {file} プレースホルダに補間し、asyncExec（これは promisify(exec) で /bin/sh -c を呼び出します）を通じて結果を実行していました。外部スキャナが構成されているデプロイメントでは、添付ファイルをアップロードできる認証済みユーザーはファイル名にコマンド置換などのシェルメタ文字を配置して Wekan サーバープロセスとしてコマンドを実行できました。バージョン 9.75 では shellQuote() が追加され、ファイルパスが POSIX のシングルクォート付き引数として渡されるため、シェルメタ文字がプレースホルダからエスケープできなくなりました。この問題はバージョン 9.75 で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.