CVE-2026-40896 in openproject
Zusammenfassung
von VulDB • 03.06.2026
OpenProject ist eine quelloffene, webbasierte Projektmanagement-Software. Vor Version 17.3.0 kann ein Benutzer mit der Berechtigung `manage_agendas` in einem beliebigen Projekt Agendapunkte in Sitzungen einfügen, die zu jedem anderen Projekt auf der Instanz gehören – sogar zu Projekten, auf die er keinen Zugriff hat. Es sind keine Kenntnisse über das Zielprojekt, die Sitzung oder das Opfer erforderlich; der Angreifer kann blind Agendapunkte in jede Sitzung auf der Instanz einsprühen, indem er sequenzielle Abschnitts-IDs durchläuft. Version 17.3.0 behebt das Problem.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.