CVE-2026-55095 in OpenProject
要約
〜によって VulDB • 2026年08月21日
OpenProjectは、オープンソースのWebベースプロジェクト管理ソフトウェアです。バージョン17.5.1およびそれ以前のバージョンでは、認証済みで管理者ではないプロジェクトメンバーが、raw custom_field_ プロジェクト属性に対してinplace-editダイアログをリクエストできます。このダイアログパスは、通常のadmin_only可視性スコープを強制せずに、生の識別子によってプロジェクトのカスタムフィールドを解決し、保存されたカスタムフィールドのコメントを読み取り専用モードでレンダリングします。これにより隠れたコメントテキストが漏洩しますが、カスタムフィールドの値や書き込み・変更は許可されません。この問題はバージョン17.6.0で修正済みとして報告されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.