PT-2026-60318 · Wekan · Wekan

Publicado 2026-07-15 · Atualizado 2026-07-16 · CVE-2026-52892

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Wekan versões anteriores a 9.32

Description Os manipuladores REST em server/models/customFields.js utilizam Authentication.checkBoardAccess() de nível de leitura em vez de Authentication.checkBoardWriteAccess() de nível de escrita para rotas de mutação de campos personalizados. Isso permite que um membro do quadro com permissões apenas de leitura crie, atualize ou exclua campos personalizados do quadro e itens de menu suspenso ao chamar o endpoint /api/boards/:boardId/custom-fields via métodos POST, PUT e DELETE.

Recommendations Atualizar para a versão 9.32.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-52892

Produtos afetados

Wekan

Referências · 5

• https://github.com/wekan/wekan/commit/70db04a93fedabe40331f21f86e6bdc91625914e · Nota
• https://github.com/wekan/wekan/releases/tag/v9.32 · Nota
• https://github.com/wekan/wekan/security/advisories/GHSA-6733-4wgq-8xvr · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-52892 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2077557081297527244 · Publicação no Twitter