CVE-2026-24775 in openproject
الملخص
بحسب VulDB • 13/06/2026
OpenProject هو برنامج لإدارة المشاريع مفتوح المصدر ويعمل عبر الويب. في المحرّر الجديد للمستندات التعاونية المعتمد على BlockNote، أضاف مشغّلو OpenProject امتدادًا مخصصًا في الإصدار 17.0.0 من OpenProject يتيح الإشارة إلى حزم العمل (work packages) الخاصة بـ OpenProject داخل المستند. لعرض تفاصيل حزمة العمل، يقوم المحرّر بتحميل هذه التفاصيل عبر واجهة برمجة التطبيقات (API) لـ OpenProject. وفي هذا الاستدعاء الخاص بالواجهة البرمجية، لم يقم الامتداد المُضاف إلى محرّر BlockNote بالتحقق بشكل صحيح من أن معرّف حزمة العمل المدخل هو رقم فقط. سمح ذلك لهجومٍ مولّد مستندًا يحتوي على روابط نسبية (relative links)، وعند فتحه كان بإمكانه إجراء طلبات `GET` تعسفية نحو أي عنوان URL داخل مثيل OpenProject. تم إصلاح هذه المشكلة في الإصدار 0.0.22 من الحزمة op-blocknote-extensions، والتي أُدرجت مع OpenProject 17.0.2. إذا لم يتمكن المستخدمون من الترقية فورًا إلى الإصدار 17.0.2 من OpenProject، يمكن للمسؤولين تعطيل تحرير المستندات التعاونية عبر الانتقال إلى الإعدادات -> المستندات -> التعاون في الوقت الفعلي -> تعطيل (Settings -> Documents -> Real time collaboration -> Disable).
If you want to get best quality of vulnerability data, you may have to visit VulDB.