CVE-2026-1962: WeKan: Controle de Acesso Inadequado na Migração de Anexos
Foi identificada uma falha de controle de acesso inadequado no WeKan até a versão 8.20, no componente de migração de anexos, que pode ser iniciada remotamente. A versão 8.21 é indicada como correção, e o registro aponta um commit de patch. A NVD atribui pontuação CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.
Visão geral
O WeKan é uma aplicação Kanban de código aberto. O registro descreve um problema de controle de acesso inadequado no componente Attachment Migration, localizado em uma função não identificada do arquivo server/attachmentMigration.js, em versões até a 8.20. A entrada foi publicada pela VulDB como CNA, e o registro da NVD traz a pontuação base de 9.8.
Impacto
- O registro afirma que a manipulação leva a controles de acesso inadequados e associa o problema à CWE-266.
- O registro afirma que o ataque pode ser iniciado remotamente.
- O vetor da NVD indica que não são necessários privilégios nem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
- A pontuação CVSS 3.1 atribuída pela própria CNA é 6.3, o que mostra divergência entre fornecedores quanto à severidade.
- O registro não descreve quais dados ou ações um atacante poderia alcançar na prática.
Produtos e versões afetadas
- Produto listado: Wekan Project Wekan.
- Faixa afetada listada: versões anteriores à 8.21, descritas no registro como até a 8.20.
- Versão corrigida indicada no registro: 8.21.
Status de exploração
O CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas. O registro não traz dados de EPSS nem de SSVC.
Correção e mitigação
- Atualize o WeKan para a versão 8.21 ou posterior, que o registro identifica como solução.
- Analise o commit de patch referenciado para confirmar a mudança aplicada à sua implantação.
- Até a atualização, limite a exposição de rede das instâncias do WeKan e restrinja o acesso a usuários confiáveis.
- Verifique se as funções de migração de anexos estão habilitadas na sua instalação e desative-as quando não forem necessárias.
Orientações de detecção
- Faça o inventário das instâncias do WeKan e identifique as que executam versão abaixo da 8.21.
- Revise os logs da aplicação e do servidor em busca de requisições incomuns às funções ligadas a anexos, especialmente de origens inesperadas.
- Após qualquer atividade suspeita, confira a propriedade e as permissões dos anexos em relação ao estado esperado.
Limitações das informações disponíveis
O registro não identifica a função específica, o endpoint vulnerável exato nem qualquer prova de conceito. Também não especifica a configuração afetada, se o recurso de migração é habilitado por padrão, nem os dados expostos. Não há nome de CWE nem dados de EPSS.
Perguntas frequentes
Quais versões do WeKan são afetadas?
O registro lista versões do WeKan anteriores à 8.21, descritas como até a 8.20. O registro afirma que a atualização para a versão 8.21 resolve o problema.
Esta vulnerabilidade está sendo explorada ativamente?
O CVE não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.
Por que as pontuações de severidade diferem?
A NVD atribui pontuação base CVSS 3.1 de 9.8, enquanto a entrada da CNA VulDB lista pontuação CVSS 3.1 de 6.3. O registro não explica a diferença.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.