Résumé
Traversée de chemin dans Wekan (CVE-2026-52890). Des informations confidentielles peuvent être exposées. Exploitable via GET /cdn/storage/attachments/.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Wekan is open source kanban built with Meteor. Prior to 9.31, Wekan allows a logged-in board member to insert an attachment document through the /attachments/insert DDP method with attacker-controlled versions.original.path and versions.original.storage fields. The server/permissions/attachments.js insert rule checks only board write access, and FileStoreStrategyFilesystem.getReadStream() in models/lib/fileStoreStrategy.js streams the stored path without a storage-root containment check, allowing arbitrary file reads and denial of service through special files such as /dev/zero. This issue is fixed in version 9.31.
Source: NIST National Vulnerability Database NVD
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-52890 a été découverte dans dos.
Des attaquants peuvent cibler un point d'entrée spécifique comme GET /cdn/storage/attachments/ à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 7.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « dos CVE-2026-52890 » sur le site de l'éditeur.
CVE-2026-52890 (dos) — CWE-22 / CVSS v3 7.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : GET /cdn/storage/attachments/ / Attachments.insert / versions.original.path / versions.original.storage
Versions affectées : <= 9.30.0
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
ログイン済みのボードメンバーが任意のファイルを挿入する脆弱性。
バージョン9.31より前のWekan。
攻撃者が任意のファイルを読み取れて、サービス拒否攻撃が可能となるため、非常に危険。
Wekanをバージョン9.31にアップデートする。
情報なし
バージョンが9.31未満のWekanを使用しているか確認。