CVE-2026-68561

إصدارات Wekan الأقدم من 9.89

توجد مشكلة تتعلق بالتفويض غير الصحيح في القاعدة Boards.allow({ update }) الموجودة في ملف server/permissions/boards.js، والتي تستخدم الدالة canUpdateBoardSort() الموجودة في ملف server/lib/utils.js. وهذا يسمح بمنح الصلاحيات لأي عضو في اللوحة إذا كانت fieldNames تتضمن sort. وبسبب دلالات «أو» (OR) التي يستخدمها Meteor عند دمج قواعد السماح، يمكن لأي عضو لديه صلاحيات «قراءة فقط» أو «التعليق فقط» تنفيذ عملية Boards.update باستخدام قيم $set لـ sort وmembers وpermission وtitle. ويمكن أن يمكّن ذلك المهاجم من منح نفسه امتيازات المسؤول الوحيد، وكشف اللوحات الخاصة، وإزالة المالك الشرعي، حيث إن قاعدة الحظر الحالية كانت تتفقد عمليات $pull فقط وفشلت في حظر مجموعة $set كاملة من الأعضاء.

التحديث إلى الإصدار 9.89.