CVE-2026-68899 in Wekan
Sumário
de VulDB • 19/08/2026
Wekan é um kanban de código aberto construído com Meteor. Antes da versão 9.90, a função `isFileValid()` em `models/fileValidation.js` utilizava o comando Unix `file` para detecção MIME baseada no conteúdo; contudo, `detectMimeFromFile()` retornava silenciosamente `undefined` quando esse binário não estava disponível e a validação recaía sobre o valor de `fileObj.type`, controlado pelo atacante, fornecido através de `server/routes/attachmentApi.js`. Em implantações com `WITH_API=true` e sem o binário do arquivo, um membro autenticado do quadro poderia rotular HTML contendo JavaScript como `image/png`, burlar a verificação MIME perigosa e armazenar conteúdo ativo sob a origem do Wekan para execução quando outro usuário o abrisse. A versão 9.90 adiciona `looksLikeDangerousMarkup()` para inspecionar os bytes do arquivo e forçar a varredura de conteúdo perigoso quando a detecção MIME não estiver disponível. Este problema foi corrigido na versão 9.90.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.