CVE-2026-24772

OpenProject açıq mənbəli, veb əsaslı layihələrin idarə edilməsi proqram təminatıdır. Sənədlər üzərində real vaxt rejimində əməkdaşlığı təmin etmək üçün OpenProject 17.0 sinxronizasiya serverini təqdim etmişdir. OpenProject backend-i hazırda 24 saat ərzində etibarlı olan bir autentifikasiya tokeni yaradır və onu yalnız sinxronizasiya serverinə məlum olan ortaq sirrlə şifrələyir. Frontend bu şifrələnmiş tokeni və backend URL-ni istifadəçinin sənəd üzərində işləmək imkanını yoxlamaq və redaktə zamanı fasiləli yaddaşa vermə əməliyyatlarını yerinə yetirmək üçün sinxronizasiya serverinə ötürür. Sinxronizasiya serveri backend URL-ni düzgün şəkildə təsdiqləmir və şifrəsi açılmış autentifikasiya tokeni ilə birlikdə sorğunu serverə verilən son nöqtəyə (endpoint) göndərir. Hücumçu bu zəiflikdən istifadə edərək digər vasitələrlə əldə etdiyi tokenin şifrəsini aça və qurban adına OpenProject ilə qarşılıqlı əlaqə qurmaq üçün giriş tokeni əldə edə bilər. Bu zəiflik OpenProject 17.0.0 versiyası ilə gəlmiş və 17.0.2 versiyasında aradan qaldırılmışdır. Müvəqqəti həll yolu kimi, Settings -> Documents -> Real time collaboration -> Disable bölməsindən əməkdaşlıq funksiyasını söndürün. Əlavə olaraq, `hocuspocus` konteyneri də deaktiv edilməlidir.