CVE-2026-44732

Nome do Software Vulnerável e Versões Afetadas OpenProject versões anteriores a 17.3.2 OpenProject versões anteriores a 17.4.0

Description O OpenProject expõe um endpoint de atualização de documentos usado para modificar documentos existentes. O sistema carrega o documento alvo com verificações de visibilidade, mas atributos controlados por um invasor são aplicados ao registro persistido antes que a autorização seja aplicada. Isso permite que um usuário sem a permissão :manage documents no projeto de origem mova e modifique documentos de projetos estrangeiros ao manipular a variável project id em uma requisição PATCH.

Recommendations Atualize para a versão 17.3.2. Atualize para a versão 17.4.0.