PT-2026-52905 · Unknown · Openproject

CVE-2026-44736

·

Publicado

2026-06-26

·

Atualizado

2026-06-27

CVSS v3.1

6.5

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas OpenProject versões anteriores a 17.4.0
Description Uma falha na otimização de desempenho do RelationQuery permite que usuários autenticados ignorem o escopo Relation.visible. Ao fornecer um ID de pacote de trabalho arbitrário através dos filtros involved, fromId ou toId no endpoint 'GET /api/v3/relations', um usuário pode recuperar relações e os títulos de pacotes de trabalho para os quais não possui as permissões de visualização necessárias.
Recommendations Atualizar para a versão 17.4.0.

Exploit

Correção

IDOR

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-639CWE-836CWE-200

Identificadores relacionados

CVE-2026-44736
GHSA-P9GQ-HRGH-2645

Produtos afetados

Openproject