Summary
Path traversal in Wekan (CVE-2026-52890). Confidential information can be exposed externally. Exploitable via GET /cdn/storage/attachments/.
Original description
The description as published by the source.
Wekan is open source kanban built with Meteor. Prior to 9.31, Wekan allows a logged-in board member to insert an attachment document through the /attachments/insert DDP method with attacker-controlled versions.original.path and versions.original.storage fields. The server/permissions/attachments.js insert rule checks only board write access, and FileStoreStrategyFilesystem.getReadStream() in models/lib/fileStoreStrategy.js streams the stored path without a storage-root containment check, allowing arbitrary file reads and denial of service through special files such as /dev/zero. This issue is fixed in version 9.31.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
WekanはMeteorで構築されたオープンソースのカンバンです。バージョン9.31より前のWekanには、ログイン済みのボードメンバーが攻撃者制御のパスを通じて任意のファイルを挿入できる脆弱性があります。この問題は、9.31で修正されました。
ログイン済みのボードメンバーが任意のファイルを挿入する脆弱性。
バージョン9.31より前のWekan。
攻撃者が任意のファイルを読み取れて、サービス拒否攻撃が可能となるため、非常に危険。
Wekanをバージョン9.31にアップデートする。
情報なし
バージョンが9.31未満のWekanを使用しているか確認。
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- web github.com