CVE-2026-67529 in OpenProject
요약
\~에 의해 VulDB • 2026. 07. 31.
OpenProject는 오픈소스 기반의 웹 프로젝트 관리 소프트웨어입니다. 버전 17.6.0 이전에서는 `modules/costs/lib/api/v3/time_entries/time_entry_representer.rb` 및 `modules/costs/lib/api/v3/cost_entries/cost_entry_representer.rb`에서 `_links.workPackage.title`과 `_links.workPackage.href`가 각각 GET /api/v3/time_entries 및 GET /api/v3/cost_entries 엔드포인트를 통해 associated_resource로 렌더링될 때 WorkPackage.visible 또는 view_work_packages 권한이 확인되지 않았습니다. 이로 인해 view_time_entries 또는 view_cost_entries 권한을 가진 사용자가 비공개 작업 패키지(subjects)의 제목과 ID를 읽을 수 있었습니다. 이 문제는 버전 17.6.0에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.