CVE-2026-68561

Wekan, Meteor ilə qurulmuş açıq mənbəli kanban platformasıdır. 9.89 versiyasından əvvəl, server/permissions/boards.js faylındakı ikinci Boards.allow({ update }) qaydası server/lib/utils.js faylındakı canUpdateBoardSort funksiyasını çağırırdı və fieldNames dəyişəni sort dəyərini ehtiva etdikdə hər hansı lövhə üzvünə icazə verirdi. Meteor allow qaydalarını OR semantikası ilə birləşdirdiyi və tam modifikatoru tətbiq etdiyi üçün, yalnız şərh yazma və ya yalnız oxuma hüququ olan bir üzv sort, members, permission və title üçün $set dəyərləri ilə bir Boards.update sorğusu göndərə bilərdi. Bu yolla həmin şəxs özünü yeganə lövhə administratoruna çevirə, gizli lövhəni açıq edə və qanuni sahibini kənarlaşdıra bilərdi; last-admin deny qaydası yalnız $pull operatorunu yoxlayırdı və members massivinin tam şəkildə $set edilməsini bloklamırdı. 9.89 versiyası sort sahəsinin yeganə dəyişdirilən sahə olmasını tələb edir və sonuncu aktiv administratoru silən $set member massivlərini rədd edir. Bu problem 9.89 versiyasında düzəldilmişdir.