CVE-2026-68558 in Wekan
Сводка
по VulDB • 20.08.2026
Wekan — это open-source канбан-доска, созданная на базе Meteor. В версиях от 8.36 до 9.74 включительно валидатор URL исходящих вебхуков (в файле models/integrations.js) проверял только поле literal URL.hostname с помощью регулярных выражений, из-за чего DNS-имена вида 169-254-169-254.nip.io проходили эту первичную проверку. Хотя защитный механизм fetchSafe в пути доставки уже блокировал указанный IPv4-адрес назначения, его отдельный резолвер только для IPv4 и дублированный блоклист приводили к несогласованному применению ограничений ко всем семействам адресов и создавали риск расхождения (drift risk) между проверкой на этапе ввода данных и валидацией при установлении соединения. В версии 9.74 исправление заключается в том, что server/lib/ssrfGuard.js начинает разрешать все адреса с помощью `dns.lookup({ all: true })`, проверяет каждый результат через общую логику isIpBlocked, фиксирует (pin) соединение и блокирует редиректы. Данная проблема устранена в версии 9.74.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.