Oliverguenther

**Name of the Vulnerable Software and Affected Versions** OpenProject versions 11.2.1 through 16.6.1 **Description** OpenProject is a web-based project management software. A flaw exists where sending a POST request to the `/account/change password` API endpoint with an arbitrary User ID specified in the `password change user id` parameter can reveal the username associated with that ID. This occurs because the endpoint does not require authentication, allowing for the enumeration of usernames for all registered accounts within an OpenProject instance. **Recommendations** OpenProject versions 11.2.1 through 16.6.1 should be updated to version 16.6.2 or later.

**Nome do software vulnerável e versões afetadas** Versões do OpenProject anteriores à 11.3.3 **Descrição** O problema diz respeito à classe `MessagesController` no OpenProject, especificamente ao método `quote`, que é utilizado para o botão “Citar” nos fóruns de discussão. Esse método utiliza uma expressão regular para remover as tags `<pre>` das mensagens citadas. No entanto, a expressão regular pode ser explorada para causar uma negação de serviço por expressão regular devido ao seu comportamento de retrocesso ao encontrar uma tag `<pre>` não terminada com um grande número de espaços. **Recomendações** Para versões anteriores à 11.3.3, atualize para o OpenProject 11.3.3 para resolver o problema. Como solução alternativa temporária, pode-se instalar o patch manualmente.