CVE-2026-68560
Açıklama
Wekan, Meteor ile oluşturulmuş açık kaynaklı bir kanban uygulamasıdır. 9.75 sürümünden önce, models/fileValidation.js dosyası yüklenen fileObj.path değerini, yönetici tarafından yapılandırılan externalCommandLine içerisindeki {file} yer tutucusuna ekliyor ve sonucu, promisify(exec) olan ve `/bin/sh -c` komutunu çağıran asyncExec aracılığıyla yürütüyordu. Harici bir tarayıcı yapılandırılmış dağıtımlarda, ek dosya yükleyebilen kimliği doğrulanmış bir kullanıcı, dosya adına komut ikameleri gibi kabuk meta karakterleri yerleştirerek Wekan sunucu işlemi olarak komutlar çalıştırabilirdi. 9.75 sürümü, shellQuote() fonksiyonunu ekler ve dosya yolunu POSIX tek tırnaklı bir argüman olarak geçirir; böylece kabuk meta karakterlerinin yer tutucudan çıkması engellenir. Bu sorun 9.75 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wekan wekan | < 9.75 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.