CVE-2026-22600
KrytyczneStreszczenie
OpenProject przed wersją 16.6.4 zawiera podatność Local File Read w eksporcie pakietów roboczych do PDF. Poprzez przesłanie specjalnie spreparowanego pliku SVG (udającego PNG) jako załącznika, atakujący może wykorzystać silnik ImageMagick do odczytu dowolnych plików lokalnych, do których ma dostęp użytkownik aplikacji.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych danych, takich jak pliki konfiguracyjne projektu, dane prywatne czy /etc/passwd, co może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację OpenProject do wersji 16.6.4 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy ręcznie zastosować poprawkę dostarczoną przez producenta.
Oryginalny opis (angielski, źródło NVD)
OpenProject is an open-source, web-based project management software. A Local File Read (LFR) vulnerability exists in the work package PDF export functionality of OpenProject prior to version 16.6.4. By uploading a specially crafted SVG file (disguised as a PNG) as a work package attachment, an attacker can exploit the backend image processing engine (ImageMagick). When the work package is exported to PDF, the backend attempts to resize the image, triggering the ImageMagick text: coder. This allows an attacker to read arbitrary local files that the application user has permissions to access (e.g., /etc/passwd, all project configuration files, private project data, etc.). The attack requires permissions to upload attachments to a container that can be exported to PDF, such as a work package. The issue has been patched in version 16.6.4. Those who are unable to upgrade may apply the patch manually.