Vulnerabilidad en OpenProject (CVE-2026-24685)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-77
Neutralización incorrecta de elementos especiales usados en un comando (Inyección de comando)
Fecha de publicación:
28/01/2026
Última modificación:
09/02/2026
Descripción
OpenProject es un software de gestión de proyectos de código abierto y basado en la web. Las versiones anteriores a la 16.6.6 y 17.0.2 tienen una vulnerabilidad de escritura de archivos arbitraria en el endpoint de descarga de diferencias del repositorio de OpenProject (`/projects/:project_id/repository/diff.diff`) al renderizar una única revisión a través de git show. Al proporcionar un valor de rev especialmente diseñado (por ejemplo, `rev=--output=/tmp/poc.txt)`), un atacante puede inyectar opciones de línea de comandos de git show. Cuando OpenProject ejecuta el comando SCM, Git interpreta el rev controlado por el atacante como una opción y escribe la salida en una ruta elegida por el atacante. Como resultado, cualquier usuario con el permiso :browse_repository en el proyecto puede crear o sobrescribir archivos arbitrarios que el usuario del proceso de OpenProject tiene permiso para escribir. El contenido escrito consiste en la salida de git show (metadatos de commit y parche), pero sobrescribir archivos de aplicación o configuración aún conduce a la pérdida de datos y a la denegación de servicio, afectando la integridad y la disponibilidad. El problema ha sido solucionado en OpenProject 17.0.2 y 16.6.6.
Impacto
Puntuación base 4.0
9.40
Gravedad 4.0
CRÍTICA
Puntuación base 3.x
8.80
Gravedad 3.x
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:openproject:openproject:*:*:*:*:*:*:*:* | 16.6.6 (excluyendo) | |
| cpe:2.3:a:openproject:openproject:*:*:*:*:*:*:*:* | 17.0.0 (incluyendo) | 17.0.2 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página