CVE-2026-52782: OpenProject: quebra de controle de acesso (IDOR) na atribuição de pasta de projeto em armazenamento
A CVE-2026-52782 afeta versões do OpenProject anteriores a 17.3.3 e 17.4.1. Segundo o registro, um administrador de projeto pode reatribuir a pasta gerenciada de outro projeto no mesmo armazenamento Nextcloud ou OneDrive, e a sincronização seguinte aplica a lista de usuários do projeto atacante a essa pasta. O CNA classificou como crítica, com pontuação CVSS 3.1 de 9.9, e a falha não consta no catálogo KEV da CISA.
Visão geral
O OpenProject é um software de gerenciamento de projetos de código aberto e baseado na web. Segundo o registro, as versões anteriores a 17.3.3 e 17.4.1 contêm uma referência direta insegura a objeto nas configurações de armazenamento de projetos, o que pode permitir que um administrador de projeto afete uma pasta de outro projeto no mesmo armazenamento.
Impacto
- Um administrador de projeto pode obter acesso a recursos fora do escopo do seu próprio projeto.
- O registro indica que a pasta gerenciada de outro projeto no Nextcloud ou OneDrive pode ser reatribuída e que a sincronização seguinte sobrescreve a lista de controle de acesso dessa pasta com a lista de usuários do projeto atacante.
- A pontuação CVSS 3.1 de 9.9 reflete alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo, conforme pontuado pelo CNA.
Produtos e versões afetadas
- Produto: OpenProject. A descrição indica que as versões anteriores a 17.3.3 e 17.4.1 são afetadas.
- A lista estruturada de versões afetadas no registro está vazia, por isso a faixa exata deve ser confirmada no aviso do GitHub.
- Versões corrigidas citadas na descrição: 17.3.3 e 17.4.1.
Status de exploração
Segundo o registro, esta CVE não consta no catálogo KEV da CISA. Não há confirmação de exploração nas fontes consultadas. A probabilidade EPSS registrada é 0.00454, com percentil 0.37652.
Correção e mitigação
- Atualize o OpenProject para 17.3.3 ou 17.4.1, conforme a linha de versão em uso.
- Revise quais usuários possuem direitos de administrador de projeto e restrinja esses direitos a pessoas de confiança até concluir a atualização.
- Audite as permissões das pastas nos armazenamentos Nextcloud ou OneDrive conectados, verificando listas de usuários que não correspondam à composição do projeto.
Orientações de detecção
- Revise os logs de auditoria em busca de alterações nas configurações de armazenamento de projetos, especialmente reatribuições de pastas entre projetos.
- Compare as permissões das pastas gerenciadas no armazenamento externo com a composição esperada de cada projeto.
- Observe alterações inesperadas de controle de acesso em pastas após as sincronizações agendadas.
Limitações das informações disponíveis
- O registro não possui lista estruturada de versões afetadas, então a faixa exata e outras linhas de versão eventualmente afetadas não são confirmadas aqui.
- O registro mostra status de origem Deferred e não traz detalhes de testes independentes do fornecedor.
- O registro não informa se existe solução alternativa além da atualização.
Perguntas frequentes
O que é a CVE-2026-52782?
É uma referência direta insegura a objeto nas configurações de armazenamento de projetos do OpenProject, que afeta versões anteriores a 17.3.3 e 17.4.1, conforme descrito no registro.
Quais versões estão corrigidas?
A descrição informa que a falha foi corrigida nas versões 17.3.3 e 17.4.1 do OpenProject. A lista estruturada de versões afetadas está vazia, então confirme a faixa completa no aviso do GitHub.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e não há confirmação de exploração nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.