Wekan — это канбан с открытым исходным кодом, созданный с помощью Meteor. С 9.57 по 9.74 маршрут /api/boards/:boardId/exportExcel в models/exportExcel.js вызывал асинхронную защиту авторизации ExporterExcel.canExport(user) из models/server/ExporterExcel.js, не дожидаясь его. Возвращенное обещание всегда было правдивым, поэтому экспортерExcel.build(res) выполнялся даже тогда, когда board.isVisibleBy(user) запрещал доступ, позволяя любому аутентифицированному лицу, не являющемуся участником, загружать названия частных карточек, описания, списки, дорожки для плавания, участников и метаданные.
Эта проблема исправлена в версии 9.74.
Показать оригинальное описание (EN)
Wekan is open source kanban built with Meteor. From 9.57 until 9.74, the /api/boards/:boardId/exportExcel route in models/exportExcel.js called the asynchronous exporterExcel.canExport(user) authorization guard from models/server/ExporterExcel.js without awaiting it. The returned Promise was always truthy, so exporterExcel.build(res) ran even when board.isVisibleBy(user) would deny access, allowing any authenticated non-member to download private board card titles, descriptions, lists, swimlanes, members, and metadata. This issue is fixed in version 9.74.
Характеристики атаки
Последствия
Строка CVSS v3.1