CVE-2026-25560: Injeção de filtro LDAP na autenticação LDAP do WeKan
As versões do WeKan anteriores à 8.19 contêm uma falha de injeção de filtro LDAP (CWE-90) na autenticação LDAP, em que a entrada de nome de usuário não recebe escape adequado antes de ser usada em filtros de busca e em valores relacionados a DN. A NVD classifica a falha com 9,8 no CVSS 3.1 (crítica), e a VulnCheck com 8,7 no CVSS 4.0. O registro não indica inclusão no catálogo CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas, mas administradores devem revisar a faixa afetada e o patch referenciado.
Visão geral
As versões do WeKan anteriores à 8.19 contêm uma falha de injeção de filtro LDAP (CWE-90) no recurso de autenticação LDAP. Segundo o registro, a entrada de nome de usuário é inserida em filtros de busca LDAP e em valores relacionados a DN sem escape adequado. A entrada na NVD e o aviso da VulnCheck descrevem o problema, e um commit de correção está listado no repositório do WeKan.
Impacto
- Consultas LDAP manipuladas durante o login podem afetar quais entradas do diretório são correspondidas na autenticação.
- A NVD atribui 9,8 no CVSS 3.1, com impacto alto em confidencialidade, integridade e disponibilidade, sem exigir privilégios nem interação do usuário.
- A VulnCheck atribui 8,7 no CVSS 4.0.
Produtos e versões afetadas
- Wekan Project Wekan: versões anteriores à 8.19, registradas como faixa abaixo de 8.19.
- O registro não lista versões intermediárias nem informa uma versão corrigida em texto explícito.
Status de exploração
- A CVE não aparece no catálogo CISA KEV no registro analisado.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- O registro informa probabilidade EPSS de 0,00971 e percentil de 0,60941.
Correção e mitigação
- Atualize o WeKan para a versão 8.19 ou posterior. A faixa afetada indica que a 8.19 não é vulnerável, mas confirme essa informação nas notas de versão antes da implantação.
- Revise o commit de correção referenciado para entender a mudança.
- Até concluir a atualização, limite a exposição da interface de login quando possível e revise as permissões da conta de serviço LDAP usada pelo WeKan.
Orientações de detecção
- Revise logs de autenticação em busca de nomes de usuário incomuns com caracteres especiais de LDAP ou padrões anormais de falha de login.
- Monitore os logs do servidor de diretório em busca de consultas originadas do servidor WeKan com estrutura ou volume inesperados.
Limitações das informações disponíveis
- O registro não identifica os caminhos de código vulneráveis, as pré-condições técnicas exatas nem se outros métodos de autenticação são afetados.
- O registro não declara a versão corrigida em texto explícito; o limite 8.19 é inferido a partir da faixa afetada e da referência de correção.
- A data do EPSS no registro (2026-10-13) é posterior à data de publicação, por isso deve ser interpretada com cautela.
Perguntas frequentes
Quais versões do WeKan são afetadas pela CVE-2026-25560?
O registro indica versões do WeKan anteriores à 8.19 como afetadas. Versões intermediárias não são listadas, por isso verifique as notas de versão do seu build implantado.
Há exploração ativa conhecida desta vulnerabilidade?
O registro não inclui a CVE no catálogo CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer primeiro?
Identifique instâncias do WeKan abaixo de 8.19, planeje a atualização, revise o commit de correção referenciado e verifique as permissões da conta de serviço LDAP usada pelo WeKan.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.