CVE-2026-44736
Açıklama
OpenProject, açık kaynaklı ve web tabanlı bir proje yönetim yazılımıdır. 17.4.0 sürümünden önce, GET /api/v3/relations uç noktası; involved, fromId veya toId filtresine rastgele bir iş paketi kimliği sağlanarak, herhangi bir kimliği doğrulanmış kullanıcının görme yetkisine sahip olmadığı iş paketlerinin ilişkilerini ve konularını (başlıklarını) almasına izin vermektedir. Bu durum, RelationQuery içerisindeki hatalı bir performans optimizasyonu nedeniyle Relation.visible kapsamının atlanmasına yol açmaktadır. Bu güvenlik açığı 17.4.0 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| opf openproject | < 17.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.