CVE-2026-1963: WeKan: controle de acesso inadequado no armazenamento de anexos
A CVE-2026-1963 afeta o WeKan até a versão 8.20 e é classificada como controle de acesso inadequado no componente de armazenamento de anexos. O registro indica que o problema pode ser explorado remotamente e que a atualização para a versão 8.21 o mitiga. A NVD atribui pontuação 9.8 (crítica) pelo CVSS 3.1, as pontuações do CNA são menores, e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-1963 é um problema de controle de acesso inadequado no componente Attachment Storage do WeKan. O registro localiza a fraqueza no arquivo models/attachments.js e a associa ao CWE-266. Segundo o registro, o problema pode ser iniciado remotamente e é tratado na versão 8.21.
Impacto
- O registro descreve que a manipulação resulta em controles de acesso inadequados. Isso pode permitir que anexos sejam acessados por partes que não deveriam ter essa permissão, o que é uma inferência a partir dessa descrição.
- A NVD classifica a vulnerabilidade com pontuação 9.8 (crítica) pelo CVSS 3.1, com vetor de ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário, e alto impacto em confidencialidade, integridade e disponibilidade.
- As pontuações do CNA VulDB são 5.3 pelo CVSS 4.0, 6.3 pelo CVSS 3.1 e 6.5 pelo CVSS 2.0.
Produtos e versões afetados
- Produto: Wekan Project Wekan.
- Faixa afetada: versões anteriores à 8.21, que o registro descreve como até a 8.20.
- Versão corrigida: 8.21, conforme o registro e a referência de lançamento.
- Commit do patch: c413a7e860bc4d93fe2adcf82516228570bf382d.
Status de exploração
A CVE não consta na lista KEV da CISA. Nenhuma exploração ativa ou explorada na natureza foi confirmada nas fontes consultadas. Dados do EPSS e do SSVC não aparecem no registro.
Correção e mitigação
- Atualize o WeKan para a versão 8.21 ou superior, conforme o registro recomenda para o componente afetado.
- Revise o commit do patch e as notas de lançamento para confirmar que a correção está presente na versão implantada.
- Se a atualização não puder ser feita de imediato, limite a exposição de rede da instância e revise as permissões de acesso aos anexos. O registro não descreve uma solução paliativa confirmada pelo fornecedor, portanto estas são medidas gerais de reforço.
Orientações de detecção
- Faça um inventário de todas as implantações do WeKan e registre suas versões para identificar instâncias em 8.20 ou anteriores.
- Revise os registros da aplicação e de acesso a anexos em busca de acessos feitos por usuários ou sessões que não deveriam tê-los.
- Monitore o acesso remoto ao serviço WeKan para padrões incomuns, em nível geral.
Limitações das informações disponíveis
- O registro não identifica a função específica em models/attachments.js nem descreve as condições exatas necessárias para o problema.
- O nome do CWE não é fornecido, e as pontuações de diferentes provedores divergem.
- Dados do EPSS e do SSVC estão ausentes, então a probabilidade de exploração não pode ser avaliada a partir do registro.
- Esta análise não inclui detalhes técnicos de exploração.
Perguntas frequentes
Quais versões do WeKan são afetadas pela CVE-2026-1963?
O registro indica que o WeKan até a versão 8.20 é afetado e apresenta a faixa afetada como versões anteriores à 8.21.
A CVE-2026-1963 está sendo explorada ativamente?
A lista KEV da CISA não inclui esta CVE, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
O que os administradores devem fazer?
Atualize o WeKan para a versão 8.21 ou superior, confirme que o commit do patch está na versão implantada e revise as permissões de acesso aos anexos enquanto planeja a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.