CVE-2026-68899

Nome do Software Vulnerável e Versões Afetadas Wekan versões anteriores a 9.90

Descrição Existe um problema onde a função isFileValid() em models/fileValidation.js depende do comando Unix file para detecção de MIME baseada em conteúdo. Quando o binário do arquivo não está disponível, a função detectMimeFromFile() retorna undefined, fazendo com que a validação dependa da variável fileObj.type fornecida através do endpoint server/routes/attachmentApi.js. Em implantações onde WITH API=true e o binário do arquivo está ausente, um membro do quadro autenticado pode ignorar as verificações de MIME rotulando HTML contendo JavaScript como image/png. Isso permite o armazenamento de conteúdo ativo sob a origem do Wekan, que é executado quando acessado por outro usuário.

Recomendações Atualizar para a versão 9.90.