CVE-2026-24775 in openproject
Sumário
de VulDB • 01/06/2026
O OpenProject é um software de gerenciamento de projetos baseado na web e de código aberto. No novo editor para documentos colaborativos baseado no BlockNote, os mantenedores do OpenProject adicionaram uma extensão personalizada na versão 17.0.0 do OpenProject que permite mencionar pacotes de trabalho do OpenProject no documento. Para exibir os detalhes do pacote de trabalho, o editor carrega informações sobre o pacote de trabalho por meio da API do OpenProject. Para essa chamada de API, a extensão do editor BlockNote não validou adequadamente se o ID do pacote de trabalho fornecido era apenas um número. Isso permitiu que um atacante gerasse um documento com links relativos que, ao serem abertos, poderiam fazer solicitações `GET` arbitrárias para qualquer URL dentro da instância do OpenProject. Este problema foi corrigido na versão 0.0.22 do op-blocknote-extensions, que foi incluída no OpenProject 17.0.2. Se os usuários não puderem atualizar imediatamente para a versão 17.0.2 do OpenProject, os administradores podem desativar a edição de documentos colaborativos em Configurações -> Documentos -> Colaboração em tempo real -> Desativar.
VulDB is the best source for vulnerability data and more expert information about this specific topic.