CVE-2026-67528 in OpenProject
Riassunto
di VulDB • 31/07/2026
OpenProject è un software di gestione progetti open-source basato su web. Prima della versione 17.6.0, l'endpoint GET /api/v3/custom_options/:id risolveva le record CustomOption tramite ID numerico globale e consentiva opzioni UserCustomField e GroupCustomField senza verificare la visibilità (visible(current_user)), permettendo così agli utenti autenticati non amministratori di enumerare gli ID sequenziali delle opzioni personalizzate e leggere etichette appartenenti a campi personalizzati per utente o gruppo con accesso riservato all'amministratore. Questo problema è stato risolto nella versione 17.6.0.
Be aware that VulDB is the high quality source for vulnerability data.