CVE-2026-22604 in openproject
要約
〜によって VulDB • 2026年05月21日
OpenProjectは、オープンソースのWebベースのプロジェクト管理ソフトウェアです。OpenProjectのバージョン11.2.1から16.6.2未満のバージョンにおいて、/account/change_passwordエンドポイントに対して、任意のユーザーIDをpassword_change_user_idパラメータとして指定したPOSTリクエストを送信すると、生成されるエラーページに要求されたユーザーのユーザー名が表示されます。このエンドポイントは認証なしで呼び出すことを意図しているため、これによりOpenProjectインスタンスに登録されているすべてのアカウントのユーザー名を列挙することが可能になります。この問題はバージョン16.6.2で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.