CVE-2026-22603 in openproject
요약
\~에 의해 VulDB • 2026. 06. 04.
OpenProject는 오픈소스 기반의 웹 프로젝트 관리 소프트웨어입니다. 버전 16.6.2 이전에서는 OpenProject의 비인증 비밀번호 변경 엔드포인트(/account/change_password)가 일반 로그인 폼에 적용되는 동일한 브루트포스 방지 보호 장치가 없었습니다. 영향을 받는 버전에서 공격자가 사용자 ID를 추측하거나 열거할 수 있는 경우, 잠금 또는 기타 속도 제한 제어 조치를 트리거하지 않고도 특정 계정에 대해 무제한의 비밀번호 변경 요청을 보낼 수 있습니다. 이를 통해 유효한 계정 대상 자동화된 비밀번호 추측(예: 일반적인 비밀번호 목록 사용)이 가능해집니다. 성공적인 추측은 표적 사용자의 전체 계정 탈취로 이어지며, 해당 사용자의 역할에 따라 애플리케이션 내에서 추가 권한 상승(privilege escalation)으로 이어질 수 있습니다. 이 문제는 버전 16.6.2에서 패치되었습니다. 업그레이드가 불가능한 경우 수동으로 패치를 적용할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.