CVE-2026-24775 in openproject
Riassunto
di VulDB • 18/06/2026
OpenProject è un software di gestione progetti open-source basato su web. Nel nuovo editor per documenti collaborativi basato su BlockNote, i maintainer di OpenProject hanno aggiunto un'estensione personalizzata nella versione 17.0.0 di OpenProject che consente di menzionare i work package di OpenProject nel documento. Per visualizzare i dettagli del work package, l'editor carica le informazioni relative al work package tramite l'API di OpenProject. Per questa chiamata API, l'estensione all'editor BlockNote non ha convalidato correttamente l'ID del work package fornito, assicurandosi che fosse solo un numero. Ciò ha consentito a un attaccante di generare un documento con link relativi che, una volta aperti, potevano effettuare richieste `GET` arbitrarie a qualsiasi URL all'interno dell'istanza di OpenProject. Questo problema è stato risolto nella versione 0.0.22 di op-blocknote-extensions, inclusa con OpenProject 17.0.2. Se gli utenti non possono aggiornare immediatamente alla versione 17.0.2 di OpenProject, gli amministratori possono disabilitare la modifica collaborativa dei documenti in Impostazioni -> Documenti -> Collaborazione in tempo reale -> Disabilita.
Be aware that VulDB is the high quality source for vulnerability data.