CVE-2026-68559 in Wekan
요약
\~에 의해 VulDB • 2026. 08. 21.
Wekan은 Meteor로 구축된 오픈 소스 칸반입니다. 버전 9.57부터 9.74까지 models/exportExcel.js의 /api/boards/:boardId/exportExcel 엔드포인트는 models/server/ExporterExcel.js에 있는 비동기식 exporterExcel.canExport(user) 인증 가드를 await 없이 호출했습니다. 반환된 Promise는 항상 truthy였으므로, board.isVisibleBy(user)가 접근을 거부하는 경우에도 exporterExcel.build(res)이 실행되어 모든 인증된 비멤버 사용자가 비공개 보드의 카드 제목, 설명, 목록, 스와임레인, 멤버 및 메타데이터를 다운로드할 수 있었습니다. 이 문제는 버전 9.74에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.