CVE-2026-68558
WysokieCVSS 8.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wekan to open source'owa tablica kanban zbudowana w Meteor. Od wersji 8.36 do 9.74, walidator URL Integration URL w models/integrations.js sprawdzał tylko dosłowny URL.hostname względem wyrażeń regularnych, więc nazwy DNS takie jak 169-254-169-254.nip.io przechodziły pierwszą linię kontroli. Zabezpieczenie fetchSafe w ścieżce dostarczania już blokowało zgłoszone miejsce docelowe IPv4, ale jego oddzielny resolver tylko dla IPv4 i zduplikowana lista blokowania tworzyły niespójne egzekwowanie dla wszystkich rodzin adresów i ryzyko dryfu między walidacją przy wejściu a połączeniem. Wersja 9.74 sprawia, że server/lib/ssrfGuard.js rozwiązuje wszystkie adresy za pomocą `dns.lookup({ all: true })`, waliduje każdy wynik przez wspólną logikę isIpBlocked, przypina połączenie i blokuje przekierowania. Problem został naprawiony w wersji 9.74.
Ocena ryzyka
Atakujący może wykorzystać SSRF do uzyskania dostępu do wewnętrznych zasobów, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaktualizuj Wekan do wersji 9.74 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Wekan is open source kanban built with Meteor. From 8.36 until 9.74, the outgoing webhook Integration URL validator in models/integrations.js checked only the literal URL.hostname against regular expressions, so DNS names such as 169-254-169-254.nip.io passed that first-line check. The delivery path's fetchSafe guard already blocked the reported IPv4 destination, but its separate IPv4-only resolver and duplicated blocklist created inconsistent all-address-family enforcement and drift risk between input-time and connection-time validation. Version 9.74 makes server/lib/ssrfGuard.js resolve all addresses with `dns.lookup({ all: true })`, validate every result through the shared isIpBlocked logic, pin the connection, and block redirects. This issue is fixed in version 9.74.