CVE-2026-52893
KrytyczneCVSS 9.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Wekan przed wersją 9.32, w hooku Accounts.onCreateUser w server/models/users.js, logowanie przez OIDC jest scalane z istniejącymi kontami, gdy adres e-mail lub nazwa użytkownika OIDC pasuje do istniejącego użytkownika Wekan, bez weryfikacji własności lub sprawdzenia email_verified. Atakujący używający konta OIDC z adresem e-mail lub nazwą użytkownika ofiary może scalić swoje dane uwierzytelniające OIDC z kontem ofiary, a następnie zalogować się jako to konto.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia konta użytkownika Wekan przez atakującego, który zna adres e-mail lub nazwę użytkownika ofiary i ma konto u dostawcy OIDC. Może to prowadzić do nieautoryzowanego dostępu do danych i funkcji w systemie Wekan.
Rekomendacja
Należy natychmiast zaktualizować Wekan do wersji 9.32 lub nowszej, która zawiera poprawkę usuwającą tę podatność. Po aktualizacji należy zweryfikować, czy nie doszło do nieautoryzowanych scalić kont.
Oryginalny opis (angielski, źródło NVD)
Wekan is open source kanban built with Meteor. Prior to 9.32, the Wekan Accounts.onCreateUser hook in server/models/users.js merges OIDC logins into existing accounts when the OIDC email or username matches an existing Wekan user, without verifying ownership or checking email_verified. An attacker using an OIDC provider account with a victim's email or username can cause Wekan to merge the attacker's OIDC credentials into the victim account and then log in as that account. This issue is fixed in version 9.32.