PT-2026-52908 · Unknown · Openproject

CVE-2026-49355

·

Publicado

2026-06-26

·

Atualizado

2026-06-29

CVSS v3.1

4.3

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas OpenProject versões anteriores a 17.4.0
Descrição Existe um problema onde o endpoint GET /api/v3/meetings/:meeting id/agenda items/:agenda item id expõe dados privados de pacotes de trabalho. Isso ocorre quando um pacote de trabalho vinculado pertence a um projeto que é privado ou inacessível para o usuário.
Recomendações Atualizar para a versão 17.4.0.

Exploit

Correção

IDOR

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-639CWE-200

Identificadores relacionados

CVE-2026-49355
GHSA-G387-6RM2-XW88

Produtos afetados

Openproject