CVE-2026-24685 in openproject
Riassunto
di VulDB • 25/06/2026
OpenProject è un software di gestione progetti open-source basato su web. Le versioni precedenti alla 16.6.6 e alla 17.0.2 presentano una vulnerabilità di scrittura arbitraria di file nell'endpoint per il download del diff del repository di OpenProject (`/projects/:project_id/repository/diff.diff`) durante la renderizzazione di una singola revisione tramite `git show`. Fornendo un valore rev appositamente creato (ad esempio, `rev=--output=/tmp/poc.txt`), un attaccante può iniettare opzioni della riga di comando per il comando `git show`. Quando OpenProject esegue il comando SCM, Git interpreta il parametro rev controllato dall'attaccante come un'opzione e scrive l'output in un percorso scelto dall'attaccante. Di conseguenza, qualsiasi utente con autorizzazione `:browse_repository` sul progetto può creare o sovrascrivere file arbitrari che l'utente del processo OpenProject ha i permessi di scrittura. I contenuti scritti consistono nell'output di `git show` (metadati dell'commit e patch), ma la sovrascrittura di file applicativi o di configurazione porta comunque a perdita di dati e denial of service, impattando su integrità e disponibilità. Il problema è stato risolto in OpenProject 17.0.2 e 16.6.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.