CVE-2026-32698

OpenProject açıq mənbəli, veb əsaslı layihə idarəetmə proqram təminatıdır. 16.6.9, 17.0.6, 17.1.3 və 17.2.1 versiyalarından əvvəlki versiyalar fərdi sahənin adı vasitəsilə SQL inyeksiyası hücumuna qarşı həssasdır. Həmin fərdi sahə Xərc Hesabatında (Cost Report) istifadə edildikdə, fərdi sahənin adı lazımi təmizləmə aparılmadan SQL sorğusuna daxil edilmişdir. Bu, hücumçuya Xərc Hesabatının yaradılması zamanı ixtiyari SQL əmrlərini icra etməyə imkan verirdi. Fərdi sahələrin yalnız tam administrator imtiyazlarına malik istifadəçilər tərəfindən yaradıla bilməsi hücum səthini müəyyən dərəcədə azaldır. Fayl sistemində git repozitoriyası üçün checkout yolunu yaratmaq üçün layihə identifikatorundan təmizləmə olmadan istifadə edən Repositories_module-dakı digər xəta ilə birlikdə bu, hücumçuya git repozitoriyasını serverdə ixtiyari seçilmiş yola checkout etməyə imkan verirdi. Əgər checkout OpenProject tətbiqinin daxilindəki müəyyən yollarda yerinə yetirilirsə, tətbiqin növbəti yenidən başladılması zamanı bu, hücumçuya tətbiqə ruby kodu inyeksiya etməyə imkan verir. Layihə identifikatoru nöqtə və ya slash kimi xüsusi simvollar ehtiva edən hər hansı sətirə əllə redaktə edilə bilmədiyi üçün, bu dəyişiklik yuxarıda təsvir olunan SQL inyeksiyası vasitəsilə edilməlidir. 16.6.9, 17.0.6, 17.1.3 və 17.2.1 versiyaları problemi aradan qaldırır.