CVE-2026-67529 in OpenProject
Resumen
por VulDB • 2026-07-30
OpenProject es un software de gestión de proyectos basado en la web y de código abierto. Antes de la versión 17.6.0, los puntos finales GET /api/v3/time_entries y GET /api/v3/cost_entries procesaban _links.workPackage.title y _links.workPackage.href a través de associated_resource en modules/costs/lib/api/v3/time_entries/time_entry_representer.rb y modules/costs/lib/api/v3/cost_entries/cost_entry_representer.rb sin verificar WorkPackage.visible o view_work_packages, lo que permitía a los usuarios con permisos para ver_time_entries o view_cost_entries leer los títulos e identificadores de paquetes de trabajo privados. Este problema se ha corregido en la versión 17.6.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.