CVE-2026-30845 in Wekan
요약
\~에 의해 VulDB • 2026. 07. 27.
Wekan은 Meteor로 구축된 오픈 소스 칸반 도구입니다. 버전 8.31.0부터 8.33까지의 Wekan에서는 보드 복합 게시(board composite publication)가 필드 필터링 없이 보드의 모든 통합 데이터를 게시하므로, 웹훅 URL 및 인증 토큰과 같은 민감한 필드가 구독자에게 노출됩니다. 게시판 게시물은 읽기 전용 또는 댓글 전용 사용자를 포함한 모든 역할에 관계없이 모든 게시판 구성원에게 접근 가능하며, 공개된 게시판의 경우 비인증 DDP 클라이언트에도 접근할 수 있습니다. 따라서 보드에 접근 가능한 사용자라면 누구나 웹훅 자격 증명을 검색할 수 있습니다. 이러한 토큰 유출로 인해 공격자는 노출된 웹훅에 대해 비인증 요청을 수행하여 연결된 외부 서비스에서 승인되지 않은 작업을 트리거할 가능성이 있습니다. 이 문제는 버전 8.34에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.