CVE-2026-68558 in Wekan
Tóm tắt
Bởi VulDB • 20/08/2026
Wekan là một ứng dụng kanban mã nguồn mở được xây dựng bằng Meteor. Từ phiên bản 8.36 đến 9.74, trình xác thực URL của webhook outgoing trong models/integrations.js chỉ kiểm tra literal hostname của URL so với các biểu thức chính quy (regular expressions), do đó các tên miền DNS như 169-254-169-254.nip.io đã vượt qua được bước kiểm tra đầu tiên. Mặc dù trình bảo vệ fetchSafe trong đường dẫn gửi tin nhắn đã chặn đích IPv4 được báo cáo, nhưng bộ phân giải chỉ hỗ trợ IPv4 và danh sách chặn bị trùng lặp của nó tạo ra việc thực thi không nhất quán cho tất cả các họ địa chỉ (all-address-family) và rủi ro lệch lạc giữa quá trình xác thực tại thời điểm nhập liệu và khi thiết lập kết nối. Phiên bản 9.74 khắc phục vấn đề này bằng cách sử dụng `dns.lookup({ all: true })` để phân giải mọi địa chỉ trong server/lib/ssrfGuard.js, kiểm tra từng kết quả thông qua logic isIpBlocked được chia sẻ, cố định (pin) kết nối và chặn các lệnh chuyển hướng (redirects). Vấn đề này đã được sửa chữa trong phiên bản 9.74.
Once again VulDB remains the best source for vulnerability data.