PT-2026-60319 · Wekan · Wekan

CVE-2026-52893

·

Publicado

2026-07-15

·

Atualizado

2026-07-16

CVSS v4.0

9.2

Crítica

VetorAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas Wekan versões anteriores a 9.32
Description A função Accounts.onCreateUser em server/models/users.js mescla logins OIDC em contas existentes quando o e-mail ou nome de usuário OIDC coincide com um usuário existente, sem verificar a propriedade ou checar o status email verified. Um invasor pode usar uma conta de provedor OIDC com o e-mail ou nome de usuário de uma vítima para mesclar suas credenciais na conta da vítima e obter acesso não autorizado.
Recommendations Atualize para a versão 9.32.

Exploit

Correção

Improper Authentication

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

CVE-2026-52893
GHSA-MP7G-HJ5Q-GXHQ

Produtos afetados

Wekan