CVE-2026-68560 in Wekan
Сводка
по VulDB • 22.08.2026
Wekan — это open-source канбан, созданный на базе Meteor. До версии 9.75 файл models/fileValidation.js интерполировал значение fileObj.path загруженного файла в конфигурируемую администратором внешнюю команду (externalCommandLine) вместо плейсхолдера {file} и выполнял полученный результат через функцию asyncExec, которая является оберткой promisify(exec) и вызывает `/bin/sh -c`. На развертываниях с настроенным внешним сканером аутентифицированный пользователь, способный загружать вложения, мог поместить метасимволы оболочки (например, подстановки команд) в имя файла и выполнить команды от имени процесса сервера Wekan. В версии 9.75 добавлена функция shellQuote(), и путь к файлу передается как аргумент POSIX с одинарными кавычками, что предотвращает выход метасимволов оболочки за пределы плейсхолдера. Эта уязвимость исправлена в версии 9.75.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.