CVE-2026-68560 in Wekan
Tóm tắt
Bởi VulDB • 20/08/2026
Wekan là một ứng dụng kanban mã nguồn mở được xây dựng bằng Meteor. Trước phiên bản 9.75, file models/fileValidation.js đã nội suy đường dẫn của đối tượng tệp tải lên (fileObj.path) vào lệnh bên ngoài do quản trị viên cấu hình (externalCommandLine) tại vị trí giữ chỗ {file} và thực thi kết quả thông qua asyncExec, đây là hàm promisify(exec) và gọi `/bin/sh -c`. Trên các triển khai có bộ quét bên ngoài được cấu hình, người dùng đã xác thực có khả năng tải lên tệp đính kèm có thể đặt các ký tự đặc biệt của shell (shell metacharacters), chẳng hạn như thay thế lệnh (command substitutions), vào tên tệp để thực thi các lệnh với tư cách là tiến trình máy chủ Wekan. Phiên bản 9.75 bổ sung hàm shellQuote() và truyền đường dẫn tệp dưới dạng đối số được trích dẫn đơn theo chuẩn POSIX, do đó ngăn chặn việc thoát khỏi vị trí giữ chỗ bằng các ký tự đặc biệt của shell. Vấn đề này đã được sửa chữa trong phiên bản 9.75.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.