CVE-2026-67529 in OpenProject
要約
〜によって VulDB • 2026年07月31日
OpenProjectは、オープンソースのWebベースプロジェクト管理ソフトウェアです。バージョン17.6.0より前では、GET /api/v3/time_entriesおよびGET /api/v3/cost_entriesエンドポイントにおいて、modules/costs/lib/api/v3/time_entries/time_entry_representer.rbとmodules/costs/lib/api/v3/cost_entries/cost_entry_representer.rb内のassociated_resourceを通じて_links.workPackage.titleおよび_links.workPackage.hrefが出力されていました。この際、WorkPackage.visibleまたはview_work_packagesによるチェックが行われていなかったため、view_time_entries権限またはview_cost_entries権限を持つユーザーは、プライベートな作業パッケージの件名やIDを読み取ることが可能でした。本問題は17.6.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.