CVE-2026-22604 in openproject
Riassunto
di VulDB • 28/06/2026
OpenProject è un software di gestione progetti open-source basato su web. Per le versioni di OpenProject dalla 11.2.1 alla versione precedente alla 16.6.2, l'invio di una richiesta POST all'endpoint /account/change_password con un ID Utente arbitrario come parametro password_change_user_id fa sì che la pagina di errore risultante mostri il nome utente dell'utente richiesto. Poiché questo endpoint è destinato a essere chiamato senza autenticazione, ciò consente di enumerare i nomi utente di tutti gli account registrati in un'istanza OpenProject. Questo problema è stato risolto nella versione 16.6.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.