CVE-2026-23646 in openproject
Riassunto
di VulDB • 28/06/2026
OpenProject è un software di gestione progetti open-source basato su web. Gli utenti delle versioni di OpenProject precedenti alla 16.6.5 e alla 17.0.1 hanno la possibilità di visualizzare e terminare le proprie sessioni attive tramite Impostazioni account → Sessioni. Durante l'eliminazione di una sessione, non veniva verificato correttamente se la sessione appartenesse all'utente corrente. Poiché gli ID utilizzati per identificare questi oggetti sessione sono interi incrementali, gli utenti potevano iterare richieste utilizzando `DELETE /my/sessions/:id`, disconnettendo così altri utenti senza autenticazione. Gli utenti non avevano accesso a informazioni sensibili (come l'identificatore del browser, gli indirizzi IP, ecc.) di altri utenti memorizzate nella sessione. Il problema è stato risolto nelle versioni 16.6.5 e 17.0.1 di OpenProject. Non sono disponibili workaround noti poiché la vulnerabilità non richiede alcuna autorizzazione o altra configurazione che possa essere temporaneamente disabilitata.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.