CVE-2026-30846
Açıklama
Wekan, Meteor ile oluşturulmuş açık kaynaklı bir kanban aracıdır. 8.31.0 ile 8.33 arasındaki sürümlerde, globalwebhooks yayını, sunucu tarafında herhangi bir kimlik doğrulama kontrolü yapmaksızın hassas url ve token alanları da dahil olmak üzere tüm küresel webhook entegrasyonlarını ifşa etmektedir. Abonelik normalde yönetici ayarları sayfasından çağrılsa da, sunucu tarafındaki yayının erişim kontrolü yoktur; bu durum, kimliği doğrulanmamış olanlar da dahil olmak üzere herhangi bir DDP istemcisinin abone olabileceği ve verileri alabileceği anlamına gelir. Bu durum, kimliği doğrulanmamış bir saldırganın küresel webhook URL'lerini ve kimlik doğrulama token'larını elde etmesine izin vererek, potansiyel olarak bu webhook'ların yetkisiz kullanımına ve bağlı harici servislere erişime imkan tanır. Bu sorun 8.34 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- wekan_project wekan8.33 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wekan_project wekan | 8.31 ≤ v < 8.33 | 8.33 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.