PT-2026-29864 · Openproject · Openproject

Ochk0 · Publicado 2026-04-02 · Atualizado 2026-04-03 · CVE-2026-34717

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:H/A:H

Name of the Vulnerable Software and Affected Versions OpenProject versões anteriores a 17.2.3

Description OpenProject, um software de gerenciamento de projetos baseado na web, apresenta uma falha onde a entrada do usuário é inserida diretamente em cláusulas SQL WHERE sem a devida parametrização. Isso ocorre devido ao operador =n em modules/reporting/lib/report/operator.rb:177. Isso pode permitir a injeção de SQL. A falha afeta usuários autenticados e pode potencialmente conceder-lhes acesso ao banco de dados.

Recommendations Atualize para a versão 17.2.3 ou posterior.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-34717

Produtos afetados

Openproject

Referências · 8

• https://github.com/opf/openproject/security/advisories/GHSA-5rrm-6qmq-2364 · Aviso do Fabricante
• https://github.com/opf/openproject/releases/tag/v17.2.3 · Nota
• https://twitter.com/infoflowcloud/status/2040130178035171830 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2039775696289988668 · Publicação no Twitter
• https://twitter.com/TheHackerWire/status/2039946142512001415 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2040128814668210246 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-34717 · Nota de Segurança
• https://twitter.com/0dayPublishing/status/2039767184293904891 · Publicação no Twitter