CVE-2026-52780: OpenProject: envenenamento de cache levando a execução remota de código

Visão geral

OpenProject é um software de gerenciamento de projetos de código aberto, baseado na web. Segundo o aviso de segurança do GitHub, as versões anteriores à 17.3.3 e à 17.4.1 são afetadas por envenenamento do armazenamento de cache que leva a execução remota de código (RCE). O registro associa o problema ao CWE-20, Validação Imprópria de Entrada.

Impacto

O registro classifica o problema como crítico, com pontuação base CVSS 3.1 de 9.6.
O vetor indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário, escopo alterado e alto impacto na confidencialidade, integridade e disponibilidade.
O aviso descreve o resultado como execução remota de código.

Produtos e versões afetados

Produto: OpenProject.
Afetadas: versões anteriores à 17.3.3 e à 17.4.1.
Corrigidas: 17.3.3 e 17.4.1.
As listas estruturadas de versões afetadas e correções estão vazias no registro, então a matriz completa de versões deve ser confirmada no aviso.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Não há exploração confirmada nas fontes consultadas. O registro inclui probabilidade EPSS de 0.0039 (percentil 0.3128) com data de 2026-10-13.

Correção e mitigação

Atualize o OpenProject para a 17.3.3 ou a 17.4.1, conforme a linha de versão em uso.
Consulte o aviso do GitHub para orientações do fornecedor sobre atualização e configuração.
Até a atualização, limite a exposição de rede da instância e restrinja o acesso a usuários confiáveis.

Detecção

Revise os logs da aplicação e do servidor web em busca de requisições ou erros incomuns relacionados ao tratamento de cache.
Monitore o host da aplicação em busca de processos inesperados ou alterações de arquivos.
Confirme a versão instalada após a atualização.

Limitações das informações disponíveis

O registro não descreve o mecanismo técnico do envenenamento de cache.
Faixas de versões afetadas além dos dois ramos citados não constam nos dados estruturados.
Não se sabe, pelo registro, se configurações específicas são necessárias para a exploração.
O registro não possui título, então o título aqui foi derivado da descrição.

Perguntas frequentes

Quais versões do OpenProject estão corrigidas na CVE-2026-52780?

Segundo o registro, o problema está corrigido nas versões 17.3.3 e 17.4.1. O registro indica que as versões anteriores a estas são afetadas.

A CVE-2026-52780 é conhecida por ser explorada na prática?

O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. Ainda assim, monitoramento e atualização rápida são recomendados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.