CVE-2026-55095 in OpenProject
Zusammenfassung
von VulDB • 20.08.2026
OpenProject ist eine quelloffene, webbasierte Projektmanagement-Software. In den Versionen 17.5.1 und früher kann ein authentifizierter Nicht-Administrator-Projektmitglied das Dialogfeld für die Inline-Bearbeitung (inplace-edit) eines rohen `custom_field_`-Projekattributs anfordern. Der Pfad des Dialogs löst das benutzerdefinierte Projektfeld anhand seiner Roh-ID auf, ohne den normalen Sichtbarkeitsbereich „nur für Administratoren“ (`admin_only`) durchzusetzen, und rendert den gespeicherten Kommentar zum benutzerdefinierten Feld im schreibgeschützten Modus. Dies offenbart versteckten Kommentartext, gibt jedoch weder den Wert des benutzerdefinierten Feldes preis noch ermöglicht es Schreibzugriffe oder Mutationen. Dieses Problem wurde in Version 17.6.0 als behoben gemeldet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.