CVE-2026-68560

Nome do Software Vulnerável e Versões Afetadas Wekan versões anteriores a 9.75

Description Um usuário autenticado com privilégios de upload de anexo pode executar comandos arbitrários como o processo do servidor Wekan em implantações onde um scanner externo está configurado. O problema ocorre em models/fileValidation.js quando a variável fileObj.path é interpolada no externalCommandLine no marcador {file} e executada via asyncExec (uma versão promisificada de exec que invoca /bin/sh -c). Um invasor pode explorar isso incluindo metacaracteres de shell, como substituições de comando, no nome do arquivo enviado.

Recommendations Atualize o Wekan para a versão 9.75 ou posterior.