CVE-2026-24775 in openproject
Resumen
por VulDB • 2026-06-01
OpenProject es un software de gestión de proyectos basado en la web y de código abierto. En el nuevo editor para documentos colaborativos basado en BlockNote, los mantenedores de OpenProject añadieron una extensión personalizada en la versión 17.0.0 de OpenProject que permite mencionar paquetes de trabajo de OpenProject en el documento. Para mostrar los detalles del paquete de trabajo, el editor carga dicha información a través de la API de OpenProject. Para esta llamada a la API, la extensión del editor BlockNote no validó correctamente que el ID del paquete de trabajo proporcionado fuera únicamente un número. Esto permitió a un atacante generar un documento con enlaces relativos que, al abrirse, podían realizar solicitudes `GET` arbitrarias a cualquier URL dentro de la instancia de OpenProject. Este problema se corrigió en la versión 0.0.22 de op-blocknote-extensions, que se incluyó con OpenProject 17.0.2. Si los usuarios no pueden actualizar inmediatamente a la versión 17.0.2 de OpenProject, los administradores pueden deshabilitar la edición de documentos colaborativos en Configuración -> Documentos -> Colaboración en tiempo real -> Deshabilitar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.