← Back
CVE-2026-52890
high
CVSS 7.1
Wekan is open source kanban built with Meteor. Prior to 9.31, Wekan allows a logged-in board member to insert an attachment document through the /attachments/insert DDP method with attacker-controlled...
Summary
Wekan is open source kanban built with Meteor. Prior to 9.31, Wekan allows a logged-in board member to insert an attachment document through the /attachments/insert DDP method with attacker-controlled versions.original.path and versions.original.storage fields. The server/permissions/attachments.js...
AI summary openai / gpt-4o
WekanはMeteorで構築されたオープンソースのカンバンです。バージョン9.31より前のWekanには、ログイン済みのボードメンバーが攻撃者制御のパスを通じて任意のファイルを挿入できる脆弱性があります。この問題は、9.31で修正されました。
❓ What is the problem
ログイン済みのボードメンバーが任意のファイルを挿入する脆弱性。
📍 Affected scope
バージョン9.31より前のWekan。
🔥 Severity
攻撃者が任意のファイルを読み取れて、サービス拒否攻撃が可能となるため、非常に危険。
🔧 How to fix
Wekanをバージョン9.31にアップデートする。
🛡️ Workaround
情報なし
🔍 Detection
バージョンが9.31未満のWekanを使用しているか確認。