CVE-2026-24775 in openproject
요약
\~에 의해 VulDB • 2026. 06. 12.
OpenProject는 오픈 소스 기반의 웹 프로젝트 관리 소프트웨어입니다. BlockNote를 기반으로 한 협업 문서용 새 에디터에서, OpenProject 유지보수팀은 버전 17.0.0에 문장 내에서 OpenProject 작업 패키지(WORK PACKAGE)를 언급할 수 있는 사용자 정의 확장 기능을 추가했습니다. 작업 패키지의 세부 정보를 표시하기 위해 에디터는 OpenProject API를 통해 해당 작업 패키지에 대한 상세 데이터를 로드합니다. 이 API 호출 시, BlockNote 에디터용 확장 기능은 제공된 작업 패키지 ID가 숫자만 포함하는지 적절히 검증하지 않았습니다. 이로 인해 공격자는 임의의 `GET` 요청을 OpenProject 인스턴스 내 모든 URL로 전송할 수 있는 상대 링크(relative links)를 포함한 문서를 생성하여, 문서 열기 시 해당 요청이 실행되도록 할 수 있었습니다. 이 문제는 OpenProject 17.0.2에 포함된 op-blocknote-extensions 버전 0.0.22에서 패치되었습니다. 사용자가 즉시 OpenProject 17.0.2로 업데이트할 수 없는 경우, 관리자는 설정(Settings) -> 문서(Documents) -> 실시간 협업(Real time collaboration) 경로에서 '비활성화(Disable)'를 선택하여 협업 문서 편집 기능을 비활성화할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.