CVE-2026-68559

Nome do Software Vulnerável e Versões Afetadas Wekan versões 9.57 through 9.73

Description O endpoint /api/boards/:boardId/exportExcel em models/exportExcel.js não aguarda adequadamente a guarda de autorização assíncrona exporterExcel.canExport(user) de models/server/ExporterExcel.js. Como a Promise retornada é sempre truthy, a função exporterExcel.build(res) é executada mesmo quando board.isVisibleBy(user) nega o acesso. Isso permite que qualquer usuário autenticado que não seja membro de um quadro faça o download de dados privados do quadro, incluindo títulos de cartões, descrições, listas, swimlanes, membros e metadados.

Recommendations Atualize o Wekan para a versão 9.74.