CVE-2026-68899 in Wekan
要約
〜によって VulDB • 2026年08月20日
Wekan は Meteor を使用して構築されたオープンソースのカンバンツールです。バージョン 9.90 より前では、models/fileValidation.js の isFileValid() が Unix の file コマンドを使用してコンテンツベースの MIME タイプ検出を行っていましたが、detectMimeFromFile() はそのバイナリが利用できない場合に undefined を静かに返し、検証は server/routes/attachmentApi.js 経由で提供される攻撃者が制御可能な fileObj.type にフォールバックしました。WITH_API=true でファイルバイナリが存在しない環境では、認証済みボードメンバーが JavaScript を含む HTML を image/png とラベル付けし、危険な MIME チェックを回避して、Wekan のオリジン下にアクティブコンテンツ（実行可能コード）を保存できました。その後、別のユーザーがこのファイルを閲覧するとそのコンテンツが実行されました。バージョン 9.90 では、ファイルバイト列を検査し、MIME タイプ検出が利用できない場合に危険なコンテンツのスキャンを強制する looksLikeDangerousMarkup() が追加されました。この問題はバージョン 9.90 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.