CVE-2026-24772

OpenProject, açık kaynaklı ve web tabanlı bir proje yönetim yazılımıdır. Belgeler üzerinde gerçek zamanlı iş birliğini sağlamak amacıyla OpenProject 17.0, bir senkronizasyon sunucusu tanıtmıştır. OpenProject arka ucu, şu anda 24 saat boyunca geçerli olan bir kimlik doğrulama belirteci oluşturur ve bunu yalnızca senkronizasyon sunucusunun bildiği ortak bir gizli anahtar ile şifreler. Ön uç, kullanıcının belge üzerinde çalışma yeteneğini kontrol etmek ve düzenleme sırasında aralıklı kaydetme işlemlerini gerçekleştirmek için bu şifrelenmiş belirteci ve arka uç URL'sini senkronizasyon sunucusuna iletir. Senkronizasyon sunucusu, arka uç URL'sini uygun şekilde doğrulamamakta ve şifresi çözülmüş kimlik doğrulama belirtecini içeren bir isteği sunucuya verilen uç noktaya göndermektedir. Bir saldırgan, kurban adına OpenProject ile etkileşime girmek için bir erişim belirteci elde etmek amacıyla, başka yollarla ele geçirdiği bir belirtecin şifresini çözmek için bu zafiyeti kullanabilir. Bu zafiyet OpenProject 17.0.0 sürümüyle gelmiş ve 17.0.2 sürümünde giderilmiştir. Geçici çözüm olarak, Ayarlar -> Belgeler -> Gerçek zamanlı iş birliği -> Devre dışı bırak yoluyla iş birliği özelliği kapatılmalıdır. Ek olarak, `hocuspocus` konteyneri de devre dışı bırakılmalıdır.