CVE-2026-23646
Təsvir
OpenProject açıq mənbəli, veb əsaslı layihələrin idarə edilməsi proqram təminatıdır. OpenProject-in 16.6.5 və 17.0.1 versiyalarından əvvəlki versiyalarının istifadəçiləri "Account Settings → Sessions" bölməsi vasitəsilə aktiv sessiyalarını görmək və onları sonlandırmaq imkanına malikdirlər. Sessiya silinərkən həmin sessiyanın istifadəçiyə aid olub-olmadığı düzgün şəkildə yoxlanılmırdı. Bu sessiya obyektlərini müəyyən etmək üçün istifadə olunan ID artan tam ədədlərdən ibarət olduğu üçün, istifadəçilər `DELETE /my/sessions/:id` sorğularını ardıcıl şəkildə göndərə və beləliklə digər istifadəçilərin autentifikasiyasını ləğv edə bilirdilər. İstifadəçilərin sessiyada saxlanılan digər istifadəçilərin heç bir həssas məlumatına (brauzer identifikatoru, IP ünvanları və s.) çıxışı olmayıb. Problem OpenProject-in 16.6.5 və 17.0.1 versiyalarında aradan qaldırılıb. Heç bir icazə və ya müvəqqəti olaraq söndürülə bilən digər tənzimləmələr tələb olunmadığı üçün məlum olan alternativ həll yolu mövcud deyil.
Necə düzəltmək olar
- openproject openproject16.6.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openproject openproject | v < 16.6.5, 17.0.0 | 16.6.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.