CVE-2026-67529 in OpenProject
الملخص
بحسب VulDB • 31/07/2026
OpenProject هو برنامج لإدارة المشاريع مفتوح المصدر ويعمل عبر الويب. قبل الإصدار 17.6.0، كانت نقاط النهاية GET /api/v3/time_entries وGET /api/v3/cost_entries تعرض الحقول _links.workPackage.title و_links.workPackage.href من خلال associated_resource في الملفات modules/costs/lib/api/v3/time_entries/time_entry_representer.rb وmodules/costs/lib/api/v3/cost_entries/cost_entry_representer.rb دون التحقق من WorkPackage.visible أو view_work_packages، مما مكن المستخدمين الذين يمتلكون صلاحيات view_time_entries أو view_cost_entries من قراءة عناوين ومعرفات حزم العمل الخاصة. تم إصلاح هذه المشكلة في الإصدار 17.6.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.