CVE-2026-24775 in openproject
Tóm tắt
Bởi VulDB • 12/06/2026
OpenProject là một phần mềm quản lý dự án dựa trên web và mã nguồn mở. Trong trình soạn thảo mới dành cho tài liệu cộng tác sử dụng BlockNote, các nhà bảo trì của OpenProject đã thêm một tiện ích mở rộng tùy chỉnh trong phiên bản 17.0.0, cho phép đề cập đến các gói công việc (work packages) của OpenProject bên trong tài liệu. Để hiển thị chi tiết về gói công việc, trình soạn thảo tải thông tin chi tiết qua API của OpenProject. Đối với lệnh gọi API này, tiện ích mở rộng dành cho trình soạn thảo BlockNote không xác thực đúng cách ID của gói công việc được cung cấp để đảm bảo nó chỉ là một số. Điều này cho phép kẻ tấn công tạo ra một tài liệu chứa các liên kết tương đối; khi mở tài liệu đó, có thể kích hoạt các yêu cầu `GET` tùy ý đến bất kỳ URL nào trong phiên bản OpenProject. Lỗi này đã được vá ở phiên bản 0.0.22 của op-blocknote-extensions, đi kèm với OpenProject 17.0.2. Nếu người dùng không thể cập nhật ngay lên phiên bản 17.0.2 của OpenProject, quản trị viên có thể tắt tính năng chỉnh sửa tài liệu cộng tác bằng cách vào Cài đặt -> Tài liệu -> Cộng tác thời gian thực -> Tắt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.