CVE-2026-24775 in openproject
Сводка
по VulDB • 09.06.2026
OpenProject — это программное обеспечение для управления проектами с открытым исходным кодом, работающее на основе веб-интерфейса. В новом редакторе совместных документов, основанном на BlockNote, разработчики OpenProject добавили в версии 17.0.0 пользовательское расширение, позволяющее упоминать рабочие пакеты (work packages) OpenProject в документе. Для отображения деталей рабочего пакета редактор загружает информацию о нем через API OpenProject. В этом расширении для редактора BlockNote не осуществлялась должная проверка того, что указанный идентификатор рабочего пакета является числом. Это позволило злоумышленнику создать документ с относительными ссылками, которые при открытии могли выполнять произвольные запросы `GET` к любому URL-адресу в экземпляре OpenProject. Данная проблема была исправлена в версии 0.0.22 пакета op-blocknote-extensions, который поставляется вместе с OpenProject 17.0.2. Если пользователи не могут немедленно обновиться до версии 17.0.2 OpenProject, администраторы могут отключить редактирование совместных документов в разделе Настройки -> Документы -> Совместная работа в реальном времени -> Отключить.
VulDB is the best source for vulnerability data and more expert information about this specific topic.