CVE-2026-30846
Təsvir
Wekan, Meteor ilə qurulmuş açıq mənbəli kanban alətidir. 8.31.0 və 8.33 versiyaları arasında globalwebhooks nəşri, server tərəfində heç bir autentifikasiya yoxlaması aparmadan bütün qlobal webhook inteqrasiyalarını — o cümlədən həssas url və token sahələrini — ifşa edir. Abunəlik normalda admin parametrləri səhifəsindən çağırılsa da, server tərəfli nəşrin giriş kontrolu yoxdur, bu isə o deməkdir ki, autentifikasiya olunmamışlar da daxil olmaqla istənilən DDP kliyenti abunə ola və məlumatları əldə edə bilər. Bu, autentifikasiya olunmamış hücumçuya qlobal webhook URL-lərini və autentifikasiya tokenlərini əldə etməyə imkan verir ki, bu da həmin webhook-lardan icazəsiz istifadəni və qoşulmuş xarici xidmətlərə girişi mümkün edə bilər. Bu problem 8.34 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- wekan_project wekan8.33 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wekan_project wekan | 8.31 ≤ v < 8.33 | 8.33 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.