CVE-2026-68900 in Wekan
요약
\~에 의해 VulDB • 2026. 08. 19.
Wekan은 Meteor로 구축된 오픈소스 칸반 보드입니다. 버전 8.72부터 10.23까지, `client/lib/exportHTML.js`의 `addBoardHTMLToZip()` 함수는 카드 제목과 본문에서 `textContent`를 통해 엔티티 인코딩된 마크업을 디코드한 후, 이를 내보낸 index.html의 `content.innerHTML`에 titleText 및 allText로 삽입(interpolate)했습니다. 보드 구성원은 카드 제목에 엔티티 인코딩된 이벤트 핸들러 페이로드를 저장할 수 있었는데, 이는 실제 보드에서는 무해하게 유지되지만 다운로드한 HTML 내보내기의 카드를 클릭하는 수신자가 이를 다시 파싱하고 실행하도록 허용합니다. 이로 인해 공격자는 해당 내보내기에서 자신의 멤버십이 제거된 후에 추가된 콘텐츠를 포함하여 모든 보드 데이터를 읽고 전송할 수 있습니다. 버전 10.23에서는 모달을 DOM 노드로 빌드하고 신뢰할 수 없는 값을 `textContent`를 통해 할당함으로써 이 문제가 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.