CVE-2026-119300
Publiée le 2026-10-30 · Dernière modification le 2026-10-30
Les versions de Wekan antérieures à 11.11, un outil de gestion de projet kanban open-source, sont affectées par une faille dans la manière dont le logiciel gère les recherches d'utilisateurs. Lorsqu'un utilisateur recherche d'autres utilisateurs, l'application transmet le terme de recherche directement dans une expression régulière sans nettoyer correctement la saisie. Dans les installations utilisant MongoDB, cela permet à des requêtes de recherche spécialement conçues de déclencher un « backtracking catastrophique », ce qui impose une charge extrême au moteur de la base de données.
Un attaquant disposant d'un compte connecté standard peut exploiter cette faille via le réseau pour provoquer un pic d'utilisation du processeur de la base de données, entraînant un déni de service pour tous les autres utilisateurs. Cette attaque ne nécessite aucun privilège particulier au-delà d'un compte de base, ni aucune interaction de la part d'autres utilisateurs. Bien qu'elle ne compromette pas la confidentialité ou l'intégrité des données, elle peut bloquer complètement la disponibilité du service.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Wekan is open source kanban built with Meteor. Prior to 11.11, the user-search publication in server/publications/users.js and the searchUsers method in server/models/users.js pass authenticated user-controlled searchTerm and query values to new RegExp() without escaping regular-expression metacharacters. MongoDB-backed deployments evaluate the resulting patterns with PCRE2, allowing a logged-in user to submit catastrophic-backtracking expressions that consume database CPU and degrade or deny service to other users; searchUsers additionally requires board membership or site-admin status. The FerretDB v1 / RE2 unaffected configuration is not practically affected by catastrophic backtracking. This issue is fixed in version 11.11.