CVE-2026-30844

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-30844
Wekan is an open source kanban tool built with Meteor. Versions 8.32 and 8.33 are vulnerable to Server-Side Request Forgery (SSRF) via attachment URL loading. During board import in Wekan, attachment URLs from user-supplied JSON data are fetched directly by the server without any URL validation or filtering, affecting both the Wekan and Trello import flows. The parseActivities() and parseActions() methods extract user-controlled attachment URLs, which are then passed directly to Attachments.load() for download with no sanitization. This Server-Side Request Forgery (SSRF) vulnerability allows any authenticated user to make the server issue arbitrary HTTP requests, potentially accessing internal network services such as cloud instance metadata endpoints (exposing IAM credentials), internal databases, and admin panels that are otherwise unreachable from outside the network. This issue has been fixed in version 8.34.

8.1 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 2.8 / Impact : 5.2

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact NONE

Scope UNCHANGED

References
Link Resource
https://github.com/wekan/wekan/commit/62216e36c15f55d4ef6cb97313db3aa54fc77fe0 Patch
https://github.com/wekan/wekan/releases/tag/v8.34 Release Notes
https://securitylab.github.com/advisories/GHSL-2026-045_Wekan/ Third Party Advisory
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:wekan_project:wekan:8.32:*:*:*:*:*:*:*
cpe:2.3:a:wekan_project:wekan:8.33:*:*:*:*:*:*:*
History

11 Mar 2026, 14:56

Type Values Removed Values Added
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 8.1
First Time Wekan Project wekan
Wekan Project
Summary
  • (es) Wekan es una herramienta kanban de código abierto construida con Meteor. Las versiones 8.32 y 8.33 son vulnerables a la falsificación de petición del lado del servidor (SSRF) a través de la carga de URL de adjuntos. Durante la importación de tableros en Wekan, las URL de adjuntos de datos JSON proporcionados por el usuario son obtenidas directamente por el servidor sin ninguna validación o filtrado de URL, afectando tanto a los flujos de importación de Wekan como de Trello. Los métodos parseActivities() y parseActions() extraen URL de adjuntos controladas por el usuario, las cuales son luego pasadas directamente a Attachments.load() para su descarga sin sanitización. Esta vulnerabilidad de falsificación de petición del lado del servidor (SSRF) permite a cualquier usuario autenticado hacer que el servidor emita peticiones HTTP arbitrarias, potencialmente accediendo a servicios de red internos como puntos finales de metadatos de instancias en la nube (exponiendo credenciales IAM), bases de datos internas y paneles de administración que de otro modo serían inalcanzables desde fuera de la red. Este problema ha sido solucionado en la versión 8.34.
CPE cpe:2.3:a:wekan_project:wekan:8.32:*:*:*:*:*:*:*
cpe:2.3:a:wekan_project:wekan:8.33:*:*:*:*:*:*:*
References () https://github.com/wekan/wekan/commit/62216e36c15f55d4ef6cb97313db3aa54fc77fe0 - () https://github.com/wekan/wekan/commit/62216e36c15f55d4ef6cb97313db3aa54fc77fe0 - Patch
References () https://github.com/wekan/wekan/releases/tag/v8.34 - () https://github.com/wekan/wekan/releases/tag/v8.34 - Release Notes
References () https://securitylab.github.com/advisories/GHSL-2026-045_Wekan/ - () https://securitylab.github.com/advisories/GHSL-2026-045_Wekan/ - Third Party Advisory

06 Mar 2026, 20:16

Type Values Removed Values Added
New CVE
Information

Published : 2026-03-06 20:16

Updated : 2026-03-11 14:56

NVD link : CVE-2026-30844

Mitre link : CVE-2026-30844

CVE.ORG link : CVE-2026-30844

JSON object : View

Products Affected

wekan_project

  • wekan
CWE
CWE-918

Server-Side Request Forgery (SSRF)