CVE-2026-52779
Açıklama
OpenProject, açık kaynaklı ve web tabanlı bir proje yönetim yazılımıdır. 17.3.3 ve 17.4.1 sürümlerinden önce, Calendar ve Team Planner modüllerindeki projeler arası bir IDOR / yetkilendirme bağlamı karışıklığı, bir projede yönetim izinlerine sahip olan bir kullanıcının, ilgili yönetim izinlerine sahip olmadığı başka bir projedeki genel Calendar veya Team Planner sorgularını silmesine olanak tanır. Her iki modül de isteği URL'deki :project_id ile tanımlanan projeye göre yetkilendirir, ancak asıl Sorgu nesnesi daha sonra Query.visible(current_user) üzerinden :id ile yüklenirken, yüklenen Sorgunun yetkilendirilmiş projeye ait olduğu doğrulanmaz. Sonuç olarak, bir saldırgan Proje A'daki izinleri kullanarak Proje B'deki paylaşılan/genel Calendar veya Team Planner görünümlerini silebilir; bu durum bütünlük kaybına ve bu paylaşılan görünümlere güvenen kullanıcılar için sınırlı erişilebilirlik etkisine yol açar. Bu güvenlik açığı 17.3.3 ve 17.4.1 sürümlerinde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| opf openproject | < 17.3.3, >= 17.4.0, < 17.4.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.