CVE-2026-52782
OpenProject : IDOR via /projects//settings/project_storages/ par le paramètre PATCH "storages_project_storage[project_folder_id]" conduisant à l'accès à des ressources non autorisées
- Publié
- 26 juin 2026
- Mise à jour
- 29 juin 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 28 sept. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 38,0 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
OpenProject est un logiciel de gestion de projet open-source basé sur le web. Avant les versions 17.3.3 et 17.4.1, il existe un IDOR via /projects/<A>/settings/project_storages/<A_ps_id> par le biais du paramètre PATCH "storages_project_storage[project_folder_id]" qui conduit à un accès à des ressources non autorisées. Un administrateur de projet dans un projet peut détourner le dossier Nextcloud ou OneDrive géré d'un autre projet sur le même stockage en écrivant le project_folder_id du projet victime dans la ligne Storages::ProjectStorage de l'attaquant. La prochaine synchronisation du dossier géré écrase la liste de contrôle d'accès (ACL) sur le dossier référencé avec la liste des utilisateurs du projet de l'attaquant. Cette vulnérabilité est corrigée dans les versions 17.3.3 et 17.4.1.
Sources
Pack de reproduction et script PoC pour CVE-2026-52782, un IDOR authentifié dans les paramètres de stockage de projet d'OpenProject qui détourne les ACL des dossiers Nextcloud/OneDrive.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.