CVE-2026-67529 in OpenProject
Sumário
de VulDB • 31/07/2026
O OpenProject é um software de gerenciamento de projetos baseado na web e de código aberto. Antes da versão 17.6.0, os endpoints GET /api/v3/time_entries e GET /api/v3/cost_entries renderizavam _links.workPackage.title e _links.workPackage.href por meio do associated_resource nos arquivos modules/costs/lib/api/v3/time_entries/time_entry_representer.rb e modules/costs/lib/api/v3/cost_entries/cost_entry_representer.rb, sem verificar WorkPackage.visible ou view_work_packages. Isso permitia que usuários com permissão de view_time_entries ou view_cost_entries lessem os títulos e IDs privados dos work packages. Este problema foi corrigido na versão 17.6.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.