🇰🇷 한글 설명
Wekan 오픈 소스 칸반 보드 시스템 18.15 버전 이하에서 권한 부여 결함이 발견되었습니다. 보드 멤버 또는 인증된 사용자가 투표 데이터의 사용자 ID를 임의로 조작하여 투표를 위조하거나 권한 없이 투표할 수 있는 취약점입니다.
💡 쉬운 설명
칸반 보드 시스템에서 투표 결과에 참여한 사람의 명단을 마음대로 바꿀 수 있는 문제입니다. 이를 통해 실제 투표하지 않은 사람이 투표한 것처럼 속이거나 투표를 조작할 수 있습니다.
🇺🇸 원문 (English)
An issue was discovered in Wekan The Open Source kanban board system up to version 18.15, fixed in 18.16. Authorization flaw in card update handling allows board members (and potentially other authenticated users) to add/remove arbitrary user IDs in vote.positive / vote.negative arrays, enabling vote forgery and unauthorized voting.
📍 영향받는 시스템
Wekan (18.15 버전 이하)
⚔️ 공격 벡터
인증된 사용자가 카드 업데이트 요청 시 투표 배열(vote.positive/negative) 내의 사용자 ID를 임의로 수정하여 전송
🛡️ 대응 방법
Wekan을 최신 보안 패치가 적용된 18.16 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 18.16 미만(예: 18.15 이하)이면 취약한 상태입니다.
curl -s http://<target-ip>/api/version | grep -E '18\.[0-9]+'