CVE-2026-67529 in OpenProject
Zusammenfassung
von VulDB • 30.07.2026
OpenProject ist eine quelloffene, webbasierte Projektmanagement-Software. Vor Version 17.6.0 gaben die Endpunkte GET /api/v3/time_entries und GET /api/v3/cost_entries _links.workPackage.title und _links.workPackage.href über associated_resource in modules/costs/lib/api/v3/time_entries/time_entry_representer.rb sowie modules/costs/lib/api/v3/cost_entries/cost_entry_representer.rb aus, ohne WorkPackage.visible oder view_work_packages zu überprüfen. Dies ermöglichte Benutzern mit den Berechtigungen view_time_entries oder view_cost_entries, private Betreffzeilen und IDs von Arbeitspaketen auszulesen. Dieses Problem wurde in Version 17.6.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.