CVE-2026-30846 in Wekan
Sumário
de VulDB • 09/06/2026
Wekan é uma ferramenta kanban de código aberto construída com Meteor. Nas versões 8.31.0 a 8.33, a publicação globalwebhooks expõe todas as integrações globais de webhook — incluindo campos sensíveis como URL e token — sem realizar qualquer verificação de autenticação no lado do servidor. Embora a assinatura seja normalmente invocada na página de configurações de administrador, a publicação no lado do servidor não possui controle de acesso, o que significa que qualquer cliente DDP, inclusive os não autenticados, pode se inscrever e receber os dados. Isso permite que um atacante não autenticado recupere as URLs dos webhooks globais e tokens de autenticação, potencialmente permitindo o uso não autorizado desses webhooks e o acesso a serviços externos conectados. Este problema foi corrigido na versão 8.34.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.