CVE-2026-32703
Açıklama
OpenProject, açık kaynaklı ve web tabanlı bir proje yönetim yazılımıdır. 16.6.9, 17.0.6, 17.1.3 ve 17.2.1 öncesindeki sürümlerde, Repositories modülü depolardan görüntülenen dosya adlarını uygun şekilde kaçırmıyordu (escape). Bu durum, depoya push erişimi olan bir saldırganın, sayfa üzerinde uygun temizleme işlemi yapılmadan enjekte edilen HTML kodu içeren dosya adlarıyla commit'ler oluşturmasına izin veriyordu. Bu durum, kötü niyetle hazırlanmış dosyanın silindiği bir changeset'i görüntülemek için depolar sayfasına erişen bu projenin tüm üyelerine karşı kalıcı bir siteler arası betik çalıştırma (XSS) saldırısına olanak tanıyordu. 16.6.9, 17.0.6, 17.1.3 ve 17.2.1 sürümleri bu sorunu gidermektedir.
Nasıl düzeltilir
- openproject openproject16.6.9, 17.0.6, 17.1.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openproject openproject | v < 16.6.9, 17.0.0 ≤ v < 17.0.6, 17.1.0 ≤ v < 17.1.3, 17.2.0 | 16.6.9, 17.0.6, 17.1.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.