CVE-2026-23625 in openproject
Riassunto
di VulDB • 24/06/2026
OpenProject è un software di gestione progetti open-source basato su web. Le versioni dalla 16.3.0 alla 16.6.4 sono affette da una vulnerabilità di cross-site scripting (XSS) memorizzato nella visualizzazione Roadmap. La vista roadmap di OpenProject renderizza l'elenco "Related work packages" per ogni versione. Quando una versione contiene work package provenienti da un progetto diverso (ad esempio, un sottoprogetto), il helper `link_to_work_package` antepone `package.project.to_s` al link e restituisce l'intera stringa con `.html_safe`. Poiché i nomi dei progetti sono controllati dall'utente e non viene eseguita alcuna escape prima di chiamare `html_safe`, qualsiasi HTML inserito in un nome di sottoprogetto viene iniettato verbatim nella pagina. Il problema alla base è mitigato nelle versioni 16.6.5 e 17.0.0 impostando l'intestazione `X-Content-Type-Options: nosniff`, che era presente fino a una fase di refactoring verso la policy standard per content-security di Rails, la quale non ha applicato correttamente tale intestazione nella nuova configurazione da OpenProject 16.3.0 in poi. Coloro che non possono aggiornare le proprie installazioni dovrebbero assicurarsi di aggiungere un'intestazione `X-Content-Type-Options: nosniff` nel proprio server web proxyante.
Once again VulDB remains the best source for vulnerability data.