CVE-2026-68561

Wekan, Meteor ile oluşturulmuş açık kaynaklı bir kanban uygulamasıdır. 9.89 sürümünden önce, server/permissions/boards.js dosyasındaki ikinci Boards.allow({ update }) kuralı, server/lib/utils.js içindeki canUpdateBoardSort fonksiyonunu çağırıyordu ve fieldNames kısmında sort yer aldığında herhangi bir pano üyesine yetki veriyordu. Meteor'un allow kurallarını OR semantiği ile birleştirmesi ve değiştiricinin tamamını uygulaması nedeniyle, yalnızca yorum yapma veya okuma yetkisine sahip bir üye; sort, members, permission ve title için $set değerleri içeren tek bir Boards.update isteği göndererek kendisini panonun tek yöneticisi yapabilir, gizli bir panoyu ifşa edebilir ve gerçek sahibini çıkarabilirdi; last-admin engelleme kuralı yalnızca $pull işlemini denetliyordu ve üyelerin topluca $set ile değiştirilmesini engellemiyordu. Versiyon 9.89, sort alanının değiştirilen tek alan olmasını şart koşar ve son aktif yöneticiyi kaldıran $set üye dizilerini reddeder. Bu sorun versiyon 9.89 ile düzeltilmiştir.