FICHE CVE

CVE-2026-52891

Publiée le 2026-07-15 · Dernière modification le 2026-07-17

🇫🇷 EN BREF

Les installations de Wekan antérieures à la version 9.07 sont affectées par une faille dans le processus de téléchargement des avatars. Un utilisateur authentifié peut prendre le contrôle total du serveur en téléchargeant une photo de profil dont le nom de fichier, spécialement conçu, contient des commandes shell. Cette attaque est facile à exécuter via le réseau et ne nécessite qu'un compte utilisateur standard pour réussir.

CVSS 3.19.9 CRITIQUE

Type de faiblesse

Injection de commandes système · CWE-78 CWE-88

Publiée2026-07-15

Dernière modification2026-07-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

Wekan is open source kanban built with Meteor. Prior to 9.07, Wekan avatar upload functionality embeds user-supplied filenames into paths later passed to child_process.exec() for MIME-type detection. Because models/avatars.js and models/fileValidation.js used a shell command with the avatar filename, shell metacharacters such as backticks and $() in the filename could execute commands on the server. This issue is fixed in version 9.07.