CVE-2026-67528
Açıklama
OpenProject, açık kaynaklı, web tabanlı proje yönetimi yazılımıdır. 17.6.0 sürümünden önce, GET /api/v3/custom_options/:id, CustomOption kayıtlarını global sayısal id ile çözümlüyor ve UserCustomField ile GroupCustomField seçeneklerine visible(current_user) kontrolü yapmadan izin veriyordu; bu nedenle kimliği doğrulanmış yönetici olmayan kullanıcılar sıralı özel seçenek id'lerini numaralandırarak admin_only kullanıcı veya grup özel alanlarına ait etiketleri okuyabiliyordu. Bu sorun 17.6.0 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| opf openproject | < 17.6.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.