CVE-2026-52782

Nome do Software Vulnerável e Versões Afetadas OpenProject versões anteriores a 17.3.3 OpenProject versões anteriores a 17.4.1

Description Existe uma Referência Direta Insegura a Objeto (IDOR) nas configurações de armazenamento de projetos. Um administrador de projeto pode obter acesso não autorizado à pasta gerenciada do Nextcloud ou OneDrive de outro projeto ao manipular o parâmetro storages project storage[project folder id] através de uma requisição PATCH para o endpoint '/projects//settings/project storages/'. Isso permite que o invasor sobrescreva a Lista de Controle de Acesso (ACL)—um conjunto de permissões que define quais usuários ou sistemas têm acesso a objetos—na pasta de destino durante a próxima sincronização de pasta gerenciada, sequestrando efetivamente a pasta com a lista de usuários do projeto do invasor.