CVE-2026-52779
Təsvir
OpenProject açıq mənbəli, veb əsaslı layihə idarəetmə proqram təminatıdır. 17.3.3 və 17.4.1 versiyalarından əvvəl, Calendar və Team Planner modullarında layihələrarası IDOR / avtorizasiya kontekstinin qarışdırılması zəifliyi, bir layihədə idarəetmə icazələri olan istifadəçiyə müvafiq idarəetmə icazələrinin olmadığı digər layihədən ictimai Calendar və ya Team Planner sorğularını silməyə imkan verir. Hər iki modul sorğunu URL-dəki :project_id ilə müəyyən edilmiş layihəyə görə avtorizasiyadan keçirir, lakin aktual Sorğu obyekti daha sonra Query.visible(current_user) vasitəsilə :id ilə yüklənir və yüklənmiş Sorğunun avtorizasiya olunmuş layihəyə aid olub-olmadığı yoxlanılmır. Nəticədə, hücumçu Layihə A-dakı icazələrdən istifadə edərək Layihə B-dən paylaşılan/ictimai Calendar və ya Team Planner görüntülərini silə bilər ki, bu da həmin paylaşılan görüntülərdən asılı olan istifadəçilər üçün bütövlüyə təsir və məhdud əlçatanlıq təsiri yaradır. Bu zəiflik 17.3.3 və 17.4.1 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| opf openproject | < 17.3.3, >= 17.4.0, < 17.4.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.