Wekan — это канбан с открытым исходным кодом, созданный с помощью Meteor. До версии 9.32 методы Meteor, связанные с Wekan OIDC, в packages/wekan-oidc/oidc_server.js, server/models/org.js и server/models/team.js можно было вызывать глобально без проверок авторизации администратора, используемых их аналогами, не являющимися OIDC. Прошедшие проверку пользователи могут вызывать setCreateOrgFromOidc, setOrgAllFieldsFromOidc, setCreateTeamFromOidc, setTeamAllFieldsFromOidc, boardRoutineOnLogin или groupRoutineOnLogin для создания или изменения организаций и команд, а groupRoutineOnLogin может предоставлять права глобального администратора, если включен PROPAGATE_OIDC_DATA.
Эта проблема исправлена в версии 9.32.
Показать оригинальное описание (EN)
Wekan is open source kanban built with Meteor. Prior to 9.32, Wekan OIDC-related Meteor methods in packages/wekan-oidc/oidc_server.js, server/models/org.js, and server/models/team.js are globally callable without the admin authorization checks used by their non-OIDC counterparts. Authenticated users can call setCreateOrgFromOidc, setOrgAllFieldsFromOidc, setCreateTeamFromOidc, setTeamAllFieldsFromOidc, boardRoutineOnLogin, or groupRoutineOnLogin to create or modify organizations and teams, and groupRoutineOnLogin can grant global admin privileges when PROPAGATE_OIDC_DATA is enabled. This issue is fixed in version 9.32.
Характеристики атаки
Последствия
Строка CVSS v4.0