CVE-2026-22600: OpenProject: leitura arbitrária de arquivos via SVG Coder do ImageMagick na exportação para PDF
A CVE-2026-22600 afeta versões do OpenProject anteriores à 16.6.4. Segundo o aviso do GitHub, um arquivo SVG elaborado enviado como anexo de pacote de trabalho pode levar à leitura local de arquivos durante a exportação para PDF, por meio do coder de texto do ImageMagick. O registro informa pontuação CVSS crítica de 9.1, mas nenhuma exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-22600 é um problema de leitura local de arquivos na exportação de pacotes de trabalho para PDF do OpenProject. O aviso do GitHub descreve um arquivo SVG disfarçado de PNG que é processado pelo ImageMagick durante a exportação do pacote de trabalho. O registro associa a falha ao CWE-200, Exposição de Informações Sensíveis.
Impacto
- O registro afirma que um invasor pode ler arquivos locais arbitrários acessíveis ao usuário da aplicação.
- Os exemplos citados incluem arquivos do sistema, como /etc/passwd, além de configurações de projetos e dados privados de projetos.
- O vetor CVSS do registro indica vetor de rede, baixo privilégio exigido, nenhuma interação do usuário, escopo alterado, alto impacto na confidencialidade e baixo impacto na integridade e disponibilidade.
Produtos e versões afetados
- O registro lista entradas do OpenProject com versões anteriores à 16.6.4.
- Versão corrigida: 16.6.4, conforme o aviso do GitHub e a tag de lançamento citada no registro.
- Versões anteriores à 16.6.4 devem ser tratadas como afetadas; o registro não lista versões intermediárias.
Status de exploração
- O catálogo KEV da CISA não inclui esta CVE no registro.
- Não aparece exploração confirmada na natureza nas fontes consultadas.
- Os dados SSVC do registro indicam exploração como nenhuma e automatizável como não.
- A probabilidade EPSS no registro é 0,00304, com percentil de 0,22055.
Correção e mitigação
- Atualize o OpenProject para a versão 16.6.4 ou superior.
- O aviso informa que quem não puder atualizar pode aplicar o patch manualmente.
- Restrinja quem pode enviar anexos a pacotes de trabalho e a outros contêineres exportáveis, já que o registro indica que é necessária permissão de envio.
- Revise o pipeline de processamento de imagens e limite os tipos de arquivo aceitos em anexos que posteriormente são renderizados ou exportados.
Orientações de detecção
- Revise envios de anexos cujo conteúdo não corresponda ao tipo declarado, especialmente conteúdo SVG rotulado como PNG.
- Monitore a atividade de exportação para PDF e os logs de processamento de imagem do backend em busca de falhas inesperadas ou acesso a arquivos fora do diretório de dados da aplicação.
- Audite as permissões do usuário da aplicação, pois o impacto depende dos arquivos que ele pode acessar.
Limitações das informações disponíveis
- O registro não informa a versão exata nem a configuração do ImageMagick afetada.
- O registro não detalha quais arquivos específicos de projetos podem ser lidos em cada implantação.
- O registro não confirma a existência de exploit público ou de campanha ativa.
- A data do EPSS no registro é posterior à data de publicação e deve ser verificada no feed atual.
Perguntas frequentes
O que é a CVE-2026-22600?
É uma vulnerabilidade de leitura local de arquivos na exportação para PDF de pacotes de trabalho do OpenProject, acionada pelo processamento de um anexo SVG elaborado pelo ImageMagick. O registro indica que ela foi corrigida na versão 16.6.4.
Esta CVE está sendo explorada ativamente?
O registro mostra que a CVE não está no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.