PT-2026-29864

CVE-2026-34717

Publicado

2026-03-31

Atualizado

2026-04-03

Descrição por

CVSS 3.1

9.9

Crítica

MétricasAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H

Name of the Vulnerable Software and Affected Versions OpenProject versões anteriores a 17.2.3

Description OpenProject, um software de gerenciamento de projetos baseado na web, apresenta uma falha onde a entrada do usuário é inserida diretamente em cláusulas SQL WHERE sem a devida parametrização. Isso ocorre devido ao operador =n em modules/reporting/lib/report/operator.rb:177. Isso pode permitir a injeção de SQL. A falha afeta usuários autenticados e pode potencialmente conceder-lhes acesso ao banco de dados.

Recommendations Atualize para a versão 17.2.3 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Ochk0

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-89: Improper Neutralization of Special Elements used in an SQL Command (\'SQL Injection\')

Identificadores relacionados