Wekan — это канбан с открытым исходным кодом, созданный с помощью Meteor. До версии 9.32 метод Wekan copyBoard Meteor DDP в файле server/publications/boards.js копирует доску по идентификатору платы, предоставленному вызывающей стороной, без проверки this.userId, членства или доступа администратора. Любой прошедший проверку подлинности пользователь может скопировать частную доску, участником которой он не является, включая ее карточки, контрольные списки, настраиваемые поля, метки и правила, в то время как путь REST POST /api/boards/:boardId/copy правильно проверяет доступ администратора доски.
Эта проблема исправлена в версии 9.32.
Показать оригинальное описание (EN)
Wekan is open source kanban built with Meteor. Prior to 9.32, the Wekan copyBoard Meteor DDP method in server/publications/boards.js copies a board by caller-supplied board ID without checking this.userId, membership, or admin access. Any authenticated user can copy a private board they are not a member of, including its cards, checklists, custom fields, labels, and rules, while the REST POST /api/boards/:boardId/copy path correctly checks board admin access. This issue is fixed in version 9.32.
Характеристики атаки
Последствия
Строка CVSS v4.0