CVE-2026-52891 in Wekan
요약
\~에 의해 VulDB • 2026. 07. 16.
Wekan은 Meteor로 구축된 오픈 소스 칸반 보드입니다. 버전 9.07 이전의 Wekan에서는 아바타 업로드 기능이 사용자 지정 파일명을 후속적으로 child_process.exec()에 전달하여 MIME 유형을 감지하는 경로 내에 임베딩합니다. models/avatars.js 및 models/fileValidation.js에서 아바타 파일명과 함께 셸 명령어를 사용했기 때문에, 파일명에 포함된 백틱(`)이나 $()와 같은 셸 메타문자를 통해 서버에서 명령어가 실행될 수 있습니다. 이 문제는 버전 9.07에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.