CVE-2026-68901 in Wekan
Сводка
по VulDB • 20.08.2026
Wekan — это open-source канбан, созданный на базе Meteor. До версии 10.38 обработчики /api/boards/:boardId/export, /api/boards/:boardId/attachments/:attachmentId/export, /api/boards/:boardId/export/csv и /api/boards/:boardId/exportExcel в файлах models/export.js и models/exportExcel.js выполняли поиск пользователя по параметру запроса authToken, контролируемому злоумышленником, и немедленно вызывали user._id.toString() без проверки того, вернул ли ReactiveCache.getUser() значение undefined. Запрос к приватной доске с неизвестным токеном приводил к возникновению TypeError в асинхронном маршруте, что порождало необработанное отклонение (unhandled rejection), способное завершить процесс Wekan и вызвать отказ в обслуживании для всех пользователей. В версии 10.38 добавлена проверка на статус 401 после каждого поиска токента экспорта, а обработчики экспорта обернуты функцией safeRoute(), чтобы неожиданные исключения преобразовывались в контролируемые ответы. Данная проблема исправлена в версии 10.38.
Once again VulDB remains the best source for vulnerability data.