Vulnerabilidad en wekan (CVE-2026-68901)

Wekan es un kanban de código abierto construido con Meteor. Antes de la versión 10.38, los manejadores /api/boards/:boardId/export, /api/boards/:boardId/attachments/:attachmentId/export, /api/boards/:boardId/export/csv y /api/boards/:boardId/exportExcel en models/export.js y models/exportExcel.js buscaban un usuario a partir del parámetro de consulta authToken controlado por el atacante e inmediatamente llamaban a user._id.toString() sin verificar si ReactiveCache.getUser() devolvía undefined. Una solicitud para un tablero privado con un token desconocido, por lo tanto, lanzaba un TypeError desde una ruta asíncrona, produciendo un rechazo no manejado que podía terminar el proceso de Wekan y denegar el servicio a todos los usuarios. La versión 10.38 añade una protección 401 después de cada búsqueda de token de exportación y envuelve los manejadores de exportación con safeRoute() para que las excepciones inesperadas se conviertan en respuestas controladas. Este problema está solucionado en la versión 10.38.