CVE-2026-32698

OpenProject, açık kaynaklı ve web tabanlı bir proje yönetim yazılımıdır. 16.6.9, 17.0.6, 17.1.3 ve 17.2.1 öncesindeki sürümler, özel bir alanın adı üzerinden bir SQL injection saldırısına karşı savunmasızdır. Bu özel alan bir Cost Report içerisinde kullanıldığında, özel alanın adı uygun temizleme işlemi yapılmadan SQL sorgusuna dahil edilmekteydi. Bu durum, bir saldırganın Cost Report oluşturulması sırasında rastgele SQL komutları yürütmesine olanak tanıyordu. Özel alanlar yalnızca tam yönetici yetkilerine sahip kullanıcılar tarafından oluşturulabildiği için saldırı yüzeyi bir miktar azalmıştır. Dosya sisteminde bir git deposu için checkout yolunu oluştururken proje tanımlayıcısını temizlemeden kullanan Repositories_module içerisindeki başka bir hata ile birlikte bu durum, bir saldırganın bir git deposunu sunucuda rastgele seçilen bir yola checkout etmesine izin veriyordu. Checkout işlemi OpenProject uygulamasındaki belirli yollar içinde yapılırsa, uygulamanın bir sonraki yeniden başlatılmasıyla birlikte saldırganın uygulamaya ruby kodu enjekte etmesine olanak tanır. Proje tanımlayıcısı; nokta veya eğik çizgi gibi özel karakterler içeren herhangi bir dizeyle manuel olarak düzenlenemediği için bunun yukarıda açıklanan SQL injection aracılığıyla değiştirilmesi gerekmektedir. 16.6.9, 17.0.6, 17.1.3 ve 17.2.1 sürümleri sorunu gidermektedir.