CVE-2026-67527

Nome do Software Vulnerável e Versões Afetadas OpenProject versões anteriores a 17.6.0

Description Usuários autenticados com permissões edit work packages, mas sem permissões manage file links, podem manipular links de arquivos através do endpoint 'PATCH /api/v3/work packages/{id}'. Ao utilizar o parâmetro links.fileLinks, um invasor pode resolver registros Storages::FileLink por ID bruto, desvincular ou excluir permanentemente links de arquivos existentes, ou re-vincular links de arquivos de outros projetos para um pacote de trabalho sob seu controle. Esta ação expõe metadados, incluindo o nome do arquivo de origem, ID de origem e tipo MIME.

Recommendations Atualizar para a versão 17.6.0.