CVE-2026-24775 in openproject
Résumé
par VulDB • 09/06/2026
OpenProject est un logiciel de gestion de projet open source basé sur le web. Dans le nouvel éditeur de documents collaboratifs basé sur BlockNote, les mainteneurs d'OpenProject ont ajouté une extension personnalisée dans la version 17.0.0 d'OpenProject qui permet de mentionner les tickets de travail (work packages) d'OpenProject dans le document. Pour afficher les détails du ticket de travail, l'éditeur charge ces informations via l'API OpenProject. Pour cet appel d'API, l'extension de l'éditeur BlockNote n'a pas correctement validé que l'ID du ticket de travail fourni était uniquement un nombre. Cela a permis à un attaquant de générer un document contenant des liens relatifs qui, lors de leur ouverture, pouvaient effectuer des requêtes `GET` arbitraires vers n'importe quelle URL au sein de l'instance OpenProject. Ce problème a été corrigé dans la version 0.0.22 de op-blocknote-extensions, qui a été livrée avec OpenProject 17.0.2. Si les utilisateurs ne peuvent pas mettre à jour immédiatement vers la version 17.0.2 d'OpenProject, les administrateurs peuvent désactiter l'édition de documents collaboratifs dans Paramètres -> Documents -> Collaboration en temps réel -> Désactiver.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.