Unzureichende Prüfung der Backend-URL im OpenProject-Synchronisationsserver

Beschreibung

Für die Echtzeit-Zusammenarbeit an Dokumenten führte OpenProject 17.0 einen Synchronisationsserver ein. Das Backend erzeugt ein Authentifizierungstoken, verschlüsselt es mit einem geteilten Geheimnis und übergibt es zusammen mit der Backend-URL an den Synchronisationsserver. Da der Server die Backend-URL nicht ordentlich prüft, sendet er das entschlüsselte Token an den ihm vorgegebenen Endpunkt. Ein Angreifer kann so ein anderweitig abgefangenes Token entschlüsseln lassen und einen Zugriffstoken erlangen, um im Namen des Opfers mit OpenProject zu interagieren. CVSS-Basiswert: 8.9 (Hoch). Empfohlene Massnahme: Aktualisierung auf OpenProject 17.0.2; als Workaround die Funktion für Echtzeit-Zusammenarbeit unter Einstellungen deaktivieren und den hocuspocus-Container abschalten.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in OpenProject

• OpenProject: SQL-Injection über den =n-Operator im Reporting-Modul CVE-2026-34717
• CVE-2026-25763 – OpenProject: Schreiben beliebiger Dateien über Repository-Endpunkt führt zu RCE CVE-2026-25763
• OpenProject: SQL-Injection über den Namen eines benutzerdefinierten Felds CVE-2026-32698
• CVE-2026-22600 – Lesen lokaler Dateien über den PDF-Export von OpenProject CVE-2026-22600
• OpenProject – persistentes XSS über Dateinamen im Repositories-Modul CVE-2026-32703
• OpenProject: Schreiben beliebiger Dateien über den Repository-Diff-Endpunkt CVE-2026-24685