CVE-2026-52785: OpenProject: injeção de SQL no parâmetro timestamps
A CVE-2026-52785 é uma falha crítica de injeção de SQL na funcionalidade de timestamps do OpenProject, aplicação open-source de gestão de projetos acessada via web. Segundo a descrição, versões anteriores à 17.3.3 e à 17.4.1 são afetadas, e a correção está presente nas versões 17.3.3 e 17.4.1. As fontes consultadas não confirmam exploração ativa.
Visão geral
O OpenProject é um software de gestão de projetos open-source e acessado pelo navegador. De acordo com o GitHub Security Advisory, existe uma falha de injeção de SQL na funcionalidade de timestamps usada pelo recurso de comparação de linha de base, que permite que chamadores solicitem atributos históricos de pacotes de trabalho por meio do parâmetro timestamps. A CNA classifica a fraqueza como CWE-89 (Injeção de SQL).
Impacto
- O vetor CVSS v3.1 informado pela CNA indica acesso pela rede, baixa complexidade de ataque, privilégios baixos exigidos, nenhuma interação do usuário, escopo alterado, alto impacto na confidencialidade e na integridade e baixo impacto na disponibilidade.
- A CNA informa pontuação base de 9,9, com severidade crítica.
- O registro não descreve quais dados específicos poderiam ser lidos ou alterados.
Produtos e versões afetadas
- A descrição indica que o produto é afetado em versões anteriores à 17.3.3 e à 17.4.1.
- Os campos estruturados de versões afetadas e de versões corrigidas estão vazios no registro, por isso as faixas exatas devem ser confirmadas no aviso.
Status de exploração
- A entrada deste CVE não consta no catálogo KEV da CISA no registro analisado.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o OpenProject para a versão 17.3.3 ou 17.4.1, conforme a linha de release em uso, como indicado na descrição.
- Quando a atualização não puder ser feita imediatamente, restrinja o acesso à aplicação a usuários e redes confiáveis e limite as contas que podem usar recursos de comparação de linha de base.
- Consulte o aviso oficial para verificar eventuais medidas de contorno fornecidas pelo fabricante antes de aplicá-las.
Orientações de detecção
- Revise os logs da aplicação e do servidor web em busca de valores incomuns ou malformados enviados a parâmetros relacionados a timestamps.
- Monitore mensagens de erro do banco de dados que indiquem problemas de sintaxe em consultas originadas pela aplicação.
- Correlacione esses eventos com a conta e o endereço de origem para apoiar a triagem de incidentes.
Limitações das informações disponíveis
- O registro não inclui faixas estruturadas de versões afetadas nem metadados de versões corrigidas.
- Não há detalhes técnicos de prova de conceito nem cronologia de exploração no registro.
- São fornecidos a probabilidade EPSS (0,00377) e o percentil (0,29849), mas são estimativas estatísticas e não confirmam exploração.
Perguntas frequentes
O que é a CVE-2026-52785?
É uma vulnerabilidade crítica de injeção de SQL na funcionalidade de timestamps do OpenProject, que afeta versões anteriores à 17.3.3 e à 17.4.1 segundo a descrição.
Quais versões corrigem o problema?
A descrição indica que o problema está corrigido nas versões 17.3.3 e 17.4.1.
Esta vulnerabilidade está sendo explorada ativamente?
O CVE não consta no catálogo KEV da CISA no registro analisado, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer agora?
Atualizar para uma versão corrigida, restringir o acesso quando a atualização for adiada e revisar os logs em busca de uso anômalo do parâmetro timestamps.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.