CVE-2026-22600 in openproject
要約
〜によって VulDB • 2026年05月19日
OpenProjectは、オープンソースのWebベースのプロジェクト管理ソフトウェアです。バージョン16.6.4以前のOpenProjectには、作業パッケージのPDFエクスポート機能にローカルファイル読み取り（LFR）の脆弱性が存在します。攻撃者は、作業パッケージの添付ファイルとして特別に作成されたSVGファイル（PNGとして偽装）をアップロードし、バックエンドの画像処理エンジン（ImageMagick）を悪用することができます。作業パッケージがPDFにエクスポートされると、バックエンドは画像のリサイズを試み、ImageMagickのtext: coderをトリガーします。これにより、攻撃者はアプリケーションユーザーがアクセス権限を持つ任意のローカルファイル（例：/etc/passwd、すべてのプロジェクト設定ファイル、プライベートプロジェクトデータなど）を読み取ることができます。この攻撃には、PDFにエクスポート可能なコンテナ（例：作業パッケージ）への添付ファイルアップロード権限が必要です。この問題はバージョン16.6.4で修正されています。アップグレードが不可能な場合は、パッチを手動で適用してください。
If you want to get best quality of vulnerability data, you may have to visit VulDB.