PT-2026-34569 · Wekan · Wekan

Rodolphe Ghio + 1 · Publicado 2026-04-22 · Atualizado 2026-04-23 · CVE-2026-41455

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.5

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N

Name of the Vulnerable Software and Affected Versions WeKan versões anteriores a 8.35

Description Existe um problema no processamento de URLs de integração de webhook onde o campo url schema aceita qualquer string sem restrição de protocolo ou validação de destino. Isso permite que usuários com permissões para criar ou modificar integrações definam URLs de webhook para endereços de rede interna. Consequentemente, o servidor pode emitir requisições HTTP POST para alvos internos com payloads completos de eventos do quadro. Além disso, o processamento de respostas pode ser explorado para sobrescrever textos de comentários arbitrários sem verificações de autorização. Server-side request forgery é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido.

Recommendations Atualize para a versão 8.35 ou posterior.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-41455

Produtos afetados

Wekan

Referências · 5

• https://github.com/wekan/wekan/releases/tag/v8.35 · Nota
• https://github.com/wekan/wekan/commit/2cd702f48df2b8aef0e7381685f8e089986a18a4 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-41455 · Nota de Segurança
• https://vulncheck.com/advisories/wekan-ssrf-via-webhook-url · Nota
• https://twitter.com/CVEnew/status/2047359937118929123 · Publicação no Twitter