JVNDB-2026-006965

Wekan projectのWekanにおけるユーザ制御の鍵による認証回避に関する脆弱性

WekanはMeteorで構築されたオープンソースのカンバンツールです。バージョン8.32および8.33には、重大な不適切な直接オブジェクト参照（IDOR）の問題があり、不正なユーザーがカスタムフィールドの更新エンドポイントを通じてボード全体のカスタムフィールドを変更できる可能性があり、不正なデータ操作につながる恐れがあります。WekanのPUT /api/boards/:boardId/custom-fields/:customFieldIdエンドポイントは、認証済みユーザーが指定されたboardIdへのアクセス権を持っていることを検証しますが、その後のデータベース更新ではカスタムフィールドの_idのみをフィルターとして使用し、そのフィールドが実際にそのボードに属しているかを確認していません。つまり、任意のボードを所有する攻撃者は、他のボードのカスタムフィールドIDを指定することで、そのボードのカスタムフィールドを変更できます。同様の脆弱性がカスタムフィールド下のドロップダウンアイテムのPOST、PUT、DELETEエンドポイントにも存在します。必要なカスタムフィールドIDはボードのエクスポート（読み取りアクセスのみ必要）によって取得可能であり、エクスポートされたJSONにはすべてのボードコンポーネントのIDが含まれています。認証チェックは誤ったリソースに対して実施されており、ボード間でカスタムフィールド操作が可能となっています。この問題はバージョン8.34で修正されました。

Wekan project

• Wekan 8.32
• Wekan 8.33

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : GHSL-2026-044: Unauthorized Data Manipulation in Wekan - CVE-2026-30843 | GitHub Security Lab

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-30843

1. National Vulnerability Database (NVD) : CVE-2026-30843
2. 関連文書 : Release v8.34  wekan/wekan  GitHub
3. 関連文書 : Fix GHSL-2026-044_Wekan.  wekan/wekan@73eb98c  GitHub

• [2026年03月16日]
    掲載