PT-2021-23962 · Unknown · Openproject

Bananabr + 1 · Publicado 2021-12-14 · Atualizado 2024-03-06 · CVE-2021-43830

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

OpenProject, versões 12.0.0 a 12.0.3

Descrição:

O OpenProject é um software de gerenciamento de projetos baseado na web. O software está vulnerável a uma injeção de SQL no módulo de orçamentos. Para usuários autenticados com a permissão “Editar orçamentos”, a solicitação para reatribuir pacotes de trabalho a outro orçamento não sanitiza suficientemente a entrada do usuário no parâmetro reassign to id.

Recomendações:

Para as versões 12.0.0 a 12.0.3 do OpenProject, atualize para pelo menos a versão 12.0.4 para resolver o problema. Se não for possível atualizar em tempo hábil, considere aplicar um patch para corrigir a vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso ao módulo de orçamentos para usuários com a permissão “Editar orçamentos” até que um patch seja aplicado. Evite usar o parâmetro reassign to id no endpoint da API afetado até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BIT-OPENPROJECT-2021-43830

CVE-2021-43830

GHSA-F565-3WHR-6M96

Produtos afetados

Openproject

Referências · 9

• https://github.com/opf/openproject/releases/tag/v12.0.4 · Nota
• https://github.com/opf/openproject/security/advisories/GHSA-f565-3whr-6m96 · Nota
• https://github.com/opf/openproject/pull/9983 · Correção
• https://github.com/opf/openproject/pull/9983.patch · Correção
• https://github.com/opf/openproject · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-43830 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-openproject-2021-43830 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-43830 · Aviso do Fabricante
• https://t.me/cibsecurity/33975 · Publicação no Telegram