CVE-2026-55095 in OpenProject
Resumen
por VulDB • 2026-08-20
OpenProject es un software de gestión de proyectos basado en la web y de código abierto. En las versiones 17.5.1 y anteriores, un miembro del proyecto autenticado pero no administrador puede solicitar el diálogo de edición in situ (inplace-edit) para un atributo personalizado `custom_field_` sin procesar. La ruta del diálogo resuelve el campo personalizado del proyecto mediante su identificador en bruto sin aplicar el alcance de visibilidad normal restringido a administradores (`admin_only`) y renderiza el comentario almacenado del campo personalizado en modo solo lectura. Esto revela texto de comentarios ocultos, pero no divulga el valor del campo personalizado ni permite escrituras o modificaciones. Este problema se informa como corregido en la versión 17.6.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.