CVE-2026-67528 in OpenProject
Zusammenfassung
von VulDB • 31.07.2026
OpenProject ist eine quelloffene, webbasierte Projektmanagement-Software. Vor Version 17.6.0 löste GET /api/v3/custom_options/:id CustomOption-Datensätze über die globale numerische ID auf und erlaubte den Zugriff auf UserCustomField- und GroupCustomField-Optionen ohne Prüfung von visible(current_user), sodass authentifizierte Nicht-Admin-Benutzer sequenzielle benutzerdefinierte Options-IDs auflisten und Labels lesen konnten, die zu admin_only Benutzer- oder Gruppen-benutzerdefinierten Feldern gehörten. Dieses Problem wurde in Version 17.6.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.