Vulnerabilidad en OpenProject (CVE-2024-35224)

OpenProject es el software líder de gestión de proyectos de código abierto. OpenProject utiliza "tablesorter" dentro de la función Informe de costos. Esta dependencia, cuando está mal configurada, puede provocar que se almacene XSS mediante la sustitución de `{icon}` en los valores del encabezado de la tabla. Este ataque requiere los permisos "Editar paquetes de trabajo", así como "Agregar archivos adjuntos". Un administrador de proyecto podría intentar aumentar sus privilegios enviando este XSS a un administrador del sistema. De lo contrario, si se requiere un administrador del sistema completo, este ataque tendrá un impacto significativamente menor. Al utilizar el archivo adjunto de un ticket, puede almacenar javascript en la propia aplicación y omitir la política CSP de la aplicación para lograr Stored XSS. Esta vulnerabilidad ha sido parcheada en las versiones 14.1.0, 14.0.2 y 13.4.2.