جزئیات آسیب‌پذیری
CVE-2026-32703
opf openproject
OpenProject's repository files are served with the MIME type allowing them to be used to bypass Content Security Policy
CVSS 3.1
9.1بحرانی
شرح رسمی (انگلیسی)
OpenProject is an open-source, web-based project management software. In versions prior to 16.6.9, 17.0.6, 17.1.3, and 17.2.1, the Repositories module did not properly escape filenames displayed from repositories. This allowed an attacker with push access into the repository to create commits with filenames that included HTML code that was injected in the page without proper sanitation. This allowed a persisted XSS attack against all members of this project that accessed the repositories page to display a changeset where the maliciously crafted file was deleted. Versions 16.6.9, 17.0.6, 17.1.3, and 17.2.1 fix the issue.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.1بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| opf | openproject | < 16.6.9 | CVEProject cvelistV5 (CNA) |
| opf | openproject | >= 17.0.0, < 17.0.6 | CVEProject cvelistV5 (CNA) |
| opf | openproject | >= 17.1.0, < 17.1.3 | CVEProject cvelistV5 (CNA) |
| opf | openproject | >= 17.2.0, < 17.2.1 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۱- https://github.com/opf/openproject/security/advisories/GHSA-p423-72h4-fjvp x_refsource_CONFIRM
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۱۲/۲۸
- آخرین به‌روزرسانی
- ۱۴۰۴/۱۲/۲۸
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۱۹٪
احتمال بهره‌برداری در ۳۰ روز
۹٫۴٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-79Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')