CVE-2026-24772: OpenProject: falha de verificação de token no servidor de colaboração em tempo real

Visão geral

O OpenProject incluiu um servidor de sincronização na linha 17.0.0 para dar suporte à edição colaborativa de documentos em tempo real. Segundo o registro, o backend cria um token de autenticação válido por 24 horas, o criptografa com um segredo compartilhado somente com o servidor de sincronização, e o frontend entrega esse token criptografado e a URL do backend ao servidor de sincronização. O registro indica que o servidor de sincronização não valida adequadamente a URL do backend, falha classificada como CWE-345 (Verificação Insuficiente da Autenticidade dos Dados).

Impacto

Segundo o registro, uma parte que já possua um token válido obtido por outros meios poderia usar a falha para recuperar o token em forma utilizável e agir em nome da vítima dentro do OpenProject.
A NVD atribui pontuação 9.0 com o vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H. O CNA do GitHub lista 8.9 no mesmo framework CVSS 3.1.
O registro indica alto impacto em confidencialidade, integridade e disponibilidade, com escopo alterado.

Produtos e versões afetadas

O registro lista o OpenProject (nome do produto Openproject Openproject) na faixa de 17.0.0 até antes da 17.0.2.
A descrição afirma que a falha foi introduzida na 17.0.0 e corrigida na 17.0.2. A lista estruturada de correções do registro está vazia, então a versão corrigida foi obtida da descrição e do aviso do GitHub.
Instalações fora dessa faixa não são descritas como afetadas nas fontes consultadas.

Status de exploração

O catálogo de Vulnerabilidades Exploradas Conhecidas da CISA não lista este CVE no registro, e não há pontuação EPSS disponível. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro não descreve ataques observados.

Correção e mitigação

Atualize o OpenProject para a 17.0.2 ou versão posterior, conforme o aviso de segurança no GitHub.
Se a atualização não puder ser feita imediatamente, siga o contorno documentado: desabilite a colaboração em tempo real em Configurações, Documentos, Colaboração em tempo real, e escolha Desabilitar. O registro também informa que o contêiner hocuspocus deve ser desabilitado.
Após a correção, avaliar se o segredo compartilhado entre o backend e o servidor de sincronização deve ser renovado é uma precaução razoável. Trata-se de uma inferência, pois as fontes não afirmam isso.

Orientações de detecção

Verifique se o recurso de colaboração e o contêiner hocuspocus estão implantados no seu ambiente, já que o contorno depende deles.
Monitore requisições de saída do servidor de sincronização para hosts diferentes do backend esperado do OpenProject.
Analise os registros de autenticação e sessão do OpenProject em busca de atividade incomum que não corresponda a usuários legítimos.

Limitações das informações disponíveis

O registro não lista versões corrigidas além da 17.0.2, detalhes de commits nem avisos adicionais além do aviso do GitHub.
As pontuações da NVD e do GitHub diferem ligeiramente (9.0 e 8.9).
O registro não traz entrada no KEV, pontuação EPSS nem dados SSVC.
A descrição do registro contém a grafia OpenPrioject, mantida aqui como aparece na fonte.

Perguntas frequentes

Quais versões do OpenProject são afetadas pela CVE-2026-24772?

O registro lista as versões de 17.0.0 até antes da 17.0.2. Instalações nessa faixa devem ser atualizadas para a 17.0.2 ou posterior.

Esta vulnerabilidade está sendo explorada ativamente?

O CVE não consta no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Qual é o contorno se não for possível atualizar imediatamente?

O registro recomenda desabilitar a colaboração em tempo real em Configurações, Documentos, Colaboração em tempo real, e também desabilitar o contêiner hocuspocus.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.