PT-2026-60323 · Wekan · Wekan

Publicado 2026-07-15 · Atualizado 2026-07-16 · CVE-2026-53447

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Wekan versões anteriores a 9.35

Description O método Meteor cloneBoard em models/import.js falha ao invocar a função canExport() ou verificar a associação ao quadro de origem ao utilizar a variável sourceBoardId. Isso permite que um usuário autenticado que possua o ID de um quadro privado clone esse quadro para sua própria conta, obtendo acesso não autorizado a cartões, comentários, anexos, informações de membros e atividades.

Recommendations Atualizar para a versão 9.35.

Correção

IDOR

Missing Authorization

Enumeração de Fraquezas

CWE-639

CWE-862

Identificadores relacionados

CVE-2026-53447

Produtos afetados

Wekan

Referências · 5

• https://github.com/wekan/wekan/security/advisories/GHSA-qfqv-42qw-vvwh · Nota
• https://github.com/wekan/wekan/releases/tag/v9.35 · Nota
• https://github.com/wekan/wekan/commit/357de728c03113b787065bac2c5832ad77f1a117 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-53447 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2077551959066730912 · Publicação no Twitter