CVE-2026-22603

OpenProject, açık kaynaklı ve web tabanlı bir proje yönetim yazılımıdır. Versiyon 16.6.2 öncesinde, OpenProject'in kimlik doğrulaması gerektirmeyen şifre değiştirme uç noktası (/account/change_password), normal giriş formu için geçerli olan kaba kuvvet (brute-force) korumalarıyla korunmamaktaydı. Etkilenen versiyonlarda, kullanıcı ID'lerini tahmin edebilen veya listeleyebilen bir saldırgan, hesap kilitleme veya diğer hız sınırlama kontrollerini tetiklemeden belirli bir hesap için sınırsız şifre değiştirme isteği gönderebilir. Bu durum, geçerli hesaplara karşı otomatik şifre tahmini yapılmasına (örneğin yaygın şifre sözlükleri ile) olanak tanır. Başarılı tahminler, hedeflenen kullanıcının hesabının tamamen ele geçirilmesiyle sonuçlanır ve kullanıcının rolüne bağlı olarak uygulama içinde daha fazla yetki yükseltmeye yol açabilir. Bu sorun versiyon 16.6.2'de düzeltilmiştir. Yükseltme yapamayanlar yamayı manuel olarak uygulayabilir.