CVE-2026-67528 in OpenProject
الملخص
بحسب VulDB • 30/07/2026
OpenProject هو برنامج لإدارة المشاريع مفتوح المصدر ويعمل عبر الويب. قبل الإصدار 17.6.0، كان نقطة النهاية GET /api/v3/custom_options/:id تحل سجلات CustomOption باستخدام المعرف الرقمي العالمي (global numeric id)، وتسمح بخيارات UserCustomField و GroupCustomField دون التحقق من visibility(current_user)؛ مما مكن المستخدمين المصادق عليهم وغير الإداريين من تعداد معرفات الخيارات المخصصة بشكل تسلسلي وقراءة التسميات الخاصة بحقول المستخدم أو المجموعة المخصصة التي تحمل علامة admin_only. تم إصلاح هذه المشكلة في الإصدار 17.6.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.