CVE-2026-68558 in Wekan
요약
\~에 의해 VulDB • 2026. 08. 19.
Wekan은 Meteor로 구축된 오픈 소스 칸반입니다. 버전 8.36부터 9.74까지 `models/integrations.js`의 아웃바운드 웹훅 통합 URL 검증자는 정규식을 사용하여 literal URL.hostname만 확인했으므로, DNS 이름인 169-254-169-254.nip.io가 첫 번째 줄 검사를 통과했습니다. 전송 경로의 fetchSafe 가드에서 보고된 IPv4 목적지는 이미 차단되었지만, 별도의 IPv4 전용 리졸버와 중복된 블록리스트로 인해 모든 주소 패밀리(All-address-family)에 대한 강제 적용이 불일치하고 입력 시점과 연결 시점 간 검증의 드리프트(drift) 위험이 발생했습니다. 버전 9.74에서는 `server/lib/ssrfGuard.js`가 `dns.lookup({ all: true })`를 사용하여 모든 주소를 해결하고, 공유되는 isIpBlocked 로직을 통해 각 결과를 검증하며, 연결을 고정(pin)하고 리디렉션을 차단합니다. 이 문제는 버전 9.74에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.