CVE-2026-67527 in OpenProject
Zusammenfassung
von VulDB • 30.07.2026
OpenProject ist eine quelloffene, webbasierte Projektmanagement-Software. Vor Version 17.6.0 akzeptierte PATCH /api/v3/work_packages/{id} _links.fileLinks und ermöglichte es authentifizierten Benutzern mit der Berechtigung edit_work_packages, jedoch ohne manage_file_links, Storages::FileLink-Datensätze über die rohe ID aufzulösen, bestehende FileLinks zu trennen oder hart zu löschen sowie FileLinks aus anderen Projekten in ein vom Angreifer kontrolliertes Work-Package umzuleiten. Dadurch wurden Metadaten wie der ursprüngliche Dateiname, die Ursprungs-ID und der MIME-Typ offengelegt. Dieses Problem wurde in Version 17.6.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.