Summary
Vulnerability in Wekan (CVE-2026-55234). Data can be tampered with by attackers. Exploitable via GET /api/boards/.
Original description
The description as published by the source.
Wekan is open source kanban built with Meteor. Prior to 9.37, Wekan DDP update allow rules in server/permissions/cards.js, server/permissions/lists.js, and server/permissions/swimlanes.js authorize against the stored source boardId and do not validate a new boardId in the update modifier. Any authenticated user with write access to their own board can call /cards/update, /lists/update, or /swimlanes/update to move cards, lists, or swimlanes into a private board they are not a member of. This issue is fixed in version 9.37.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Wekanはオープンソースのかんばんツールで、Meteorフレームワークで構築されています。バージョン9.37より前のWekanには、権限チェックの不備により、認証されたユーザーがプライベートボードにカードやリストを移動することが可能な脆弱性があります。この問題はバージョン9.37で修正されています。
Wekanの認証されたユーザーがプライベートボードにカードやリストを移動できる脆弱性です。
Wekanのバージョン9.37以前
この脆弱性により、プライベートボードへの不正なアクセスが可能になり、機密情報の漏洩に繋がる可能性があります。
Wekanをバージョン9.37にアップデートしてください。
情報なし
情報なし
References
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- web github.com