CVE-2026-55652
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wekan przed wersją 9.46 zawiera podatność w mechanizmie logowania przez nagłówek (header-login), gdzie funkcja getRequestIp() ufa nagłówkowi X-Forwarded-For dostarczonemu przez klienta przed rzeczywistym adresem gniazda. Pozwala to nieuwierzytelnionemu atakującemu na podszycie się pod dowolnego użytkownika, w tym administratora, poprzez wysłanie nagłówka HEADER_LOGIN_ID i uzyskanie sesji meteor_login_token.
Ocena ryzyka
Atakujący może przejąć konto administratora, co prowadzi do pełnej kompromitacji systemu Wekan, w tym dostępu do wszystkich tablic, kart i danych użytkowników.
Rekomendacja
Niezwłocznie zaktualizuj Wekan do wersji 9.46 lub nowszej. Jeśli aktualizacja nie jest możliwa, wyłącz funkcję header-login lub skonfiguruj HEADER_LOGIN_TRUSTED_IPS tak, aby zawierał tylko zaufane adresy IP.
Oryginalny opis (angielski, źródło NVD)
Wekan is open source kanban built with Meteor. Prior to 9.46, header-login with HEADER_LOGIN_TRUSTED_IPS uses getRequestIp() in server/lib/headerLoginAuth.js to trust the client-supplied X-Forwarded-For header before the real socket address, allowing an unauthenticated attacker to send HEADER_LOGIN_ID for any username and receive a meteor_login_token session, including for admin. This issue is fixed in version 9.46.