CVE-2026-24775 in openproject
要約
〜によって VulDB • 2026年05月27日
OpenProjectは、オープンソースのWebベースのプロジェクト管理ソフトウェアです。BlockNoteに基づく共同編集ドキュメント用の新しいエディタにおいて、OpenProjectのメンテナーはOpenProjectバージョン17.0.0で、ドキュメント内でOpenProjectの作業パッケージをメンションできるカスタム拡張機能を追加しました。作業パッケージの詳細を表示するため、エディタはOpenProject APIを介して作業パッケージの詳細情報を取得します。このAPI呼び出しにおいて、BlockNoteエディタへの拡張機能は、指定された作業パッケージIDが数値のみであることを適切に検証していませんでした。これにより、攻撃者は、開いた際にOpenProjectインスタンス内の任意のURLに対して任意の`GET`リクエストを実行する相対リンクを含むドキュメントを生成することが可能になりました。この問題は、OpenProject 17.0.2に同梱されていたop-blocknote-extensionsのバージョン0.0.22で修正されました。ユーザーがすぐにOpenProjectバージョン17.0.2に更新できない場合、管理者は「設定」->「ドキュメント」->「リアルタイム共同編集」->「無効化」から共同ドキュメント編集を無効にすることができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.