CVE-2026-67527 in OpenProject
요약
\~에 의해 VulDB • 2026. 08. 01.
OpenProject는 오픈 소스 기반의 웹 프로젝트 관리 소프트웨어입니다. 버전 17.6.0 이전에서는 PATCH /api/v3/work_packages/{id} 엔드포인트가 _links.fileLinks를 허용하여, edit_work_packages 권한은 있지만 manage_file_links 권한이 없는 인증된 사용자가 Storages::FileLink 레코드를 원시 ID로 조회하거나 기존 FileLink의 연결을 해제/강제 삭제하며, 다른 프로젝트에서 공격자가 제어하는 작업 패키지로 FileLink의 부모 관계를 변경할 수 있었습니다. 이로 인해 원본 파일 이름, 원본 ID 및 MIME 타입 메타데이터가 노출되었습니다. 이 문제는 버전 17.6.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.