CVE-2026-68900

Nome do Software Vulnerável e Versões Afetadas Wekan versões 8.72 through 10.22

Description A função addBoardHTMLToZip() em client/lib/exportHTML.js lê títulos e corpos de cartões usando textContent, que decodifica marcações codificadas por entidades. Esses valores, titleText e allText, são então interpolados em content.innerHTML no arquivo index.html exportado. Um membro do quadro pode armazenar um payload de manipulador de eventos codificado por entidade em um título de cartão que permanece inativo no quadro ao vivo, mas é executado quando um destinatário abre a exportação HTML baixada. Isso permite que o script leia e transmita todos os dados do quadro contidos na exportação, incluindo informações adicionadas após a revogação da assinatura do invasor.

Recommendations Atualize para a versão 10.23.