CVE-2026-68560 in Wekan
Sumário
de VulDB • 19/08/2026
O Wekan é um kanban de código aberto construído com Meteor. Antes da versão 9.75, o arquivo models/fileValidation.js interpolava fileObj.path do arquivo enviado no externalCommandLine configurado pelo administrador em seu placeholder {file} e executava o resultado através do asyncExec, que é uma promisify(exec) e invoca `/bin/sh -c`. Em implantações com um scanner externo configurado, um usuário autenticado capaz de enviar um anexo poderia inserir metacaracteres de shell, como substituições de comando, no nome do arquivo e executar comandos como o processo Wekan server. A versão 9.75 adiciona a função shellQuote() e passa o caminho do arquivo como um argumento POSIX entre aspas simples para que os metacaracteres de shell não possam escapar do placeholder. Este problema foi corrigido na versão 9.75.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.