CVE-2026-23646

OpenProject, açık kaynaklı ve web tabanlı bir proje yönetim yazılımıdır. OpenProject'in 16.6.5 ve 17.0.1 öncesindeki sürümlerini kullanan kullanıcılar, Hesap Ayarları → Oturumlar üzerinden aktif oturumlarını görüntüleme ve sonlandırma yeteneğine sahiptir. Bir oturum silinirken, oturumun ilgili kullanıcıya ait olup olmadığı düzgün şekilde kontrol edilmemekteydi. Bu oturum nesnelerini tanımlamak için kullanılan kimliğin artımlı tam sayılar olması nedeniyle, kullanıcılar `DELETE /my/sessions/:id` isteğini tekrarlayarak diğer kullanıcıların kimlik doğrulamasını sonlandırabilmekteydi. Kullanıcılar, oturumlarda saklanan diğer kullanıcılara ait herhangi bir hassas bilgiye (tarayıcı tanımlayıcısı, IP adresleri vb.) erişememekteydi. Sorun, OpenProject 16.6.5 ve 17.0.1 sürümlerinde giderilmiştir. Herhangi bir izin veya geçici olarak devre dışı bırakılabilecek başka bir gereksinim bulunmadığından, bilinen bir geçici çözüm mevcut değildir.