CVE-2026-68560 in Wekan
요약
\~에 의해 VulDB • 2026. 08. 20.
Wekan은 Meteor로 구축된 오픈 소스 칸반 보드입니다. 버전 9.75 이전에는 models/fileValidation.js가 업로드된 fileObj.path를 관리자가 구성한 externalCommandLine의 {file} 플레이스홀더에 삽입(interpolate)하고, asyncExec(이는 promisify(exec)이며 `/bin/sh -c`를 호출함)을 통해 결과를 실행했습니다. 외부 스캐너가 구성된 배포 환경에서 첨부 파일을 업로드할 수 있는 인증된 사용자는 파일 이름에 명령어 치환(command substitutions)과 같은 셸 메타문자를 삽입하여 Wekan 서버 프로세스 권한으로 명령어를 실행할 수 있었습니다. 버전 9.75에서는 shellQuote()가 추가되고 파일 경로가 POSIX 단일 따옴표로 감싸진 인자로 전달되므로, 셸 메타문자가 플레이스홀더를 탈출하지 못하도록 방지되었습니다. 이 문제는 버전 9.75에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.