CVE-2026-68900 in Wekan
Сводка
по VulDB • 19.08.2026
Wekan — это open-source канбан-доска, созданная на базе Meteor. В версиях от 8.72 до 10.23 включительно функция addBoardHTMLToZip() в файле client/lib/exportHTML.js считывала заголовок и тело карточки через свойство textContent, что приводило к декодированию сущностей (entity-encoded markup), а затем интерполировала titleText и allText в content.innerHTML экспортируемого файла index.html. Участник доски мог сохранить payload обработчика событий, закодированный как HTML-сущности, в заголовке карточки; этот код оставался неактивным на живой доске, но парсился и выполнялся при клике получателя по карточке в скачанном экспорте HTML. Это позволяло скрипту читать и передавать все данные доски, содержащиеся в этом экспорте, включая контент, добавленный после того, как учетная запись атакующего была удалена из участников. В версии 10.23 модальное окно формируется с использованием DOM-узлов, а недоверенные значения назначаются через textContent. Данная проблема исправлена в версии 10.23.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.