OpenProject présente une Injection SQL via le Nom d'un Champ Personnalisé qui peut être chaînée à une Exécution de Code à Distance

L'exploitation réussie de cette vulnérabilité permet à un attaquant d'injecter du code SQL malveillant dans les requêtes de base de données d'OpenProject. En particulier, l'injection se produit lors de la génération de rapports de coûts utilisant des champs personnalisés. Un attaquant pourrait potentiellement accéder à des données sensibles stockées dans la base de données, telles que des informations sur les projets, les utilisateurs, les tâches et les coûts. Il pourrait également modifier ou supprimer des données, compromettant l'intégrité du système. Bien que la création de champs personnalisés nécessite des privilèges d'administrateur complets, la combinaison avec d'autres vulnérabilités, comme mentionné dans la description, pourrait élargir le champ d'attaque. Cette vulnérabilité présente un risque élevé en raison de sa criticité et de la possibilité d'une exécution de code arbitraire.

Organizations using OpenProject for project management, particularly those with custom fields and Cost Reports enabled, are at risk. Environments with limited access controls or where administrator privileges are broadly granted are especially vulnerable. Shared hosting environments running OpenProject should be carefully assessed.

• linux / server:

journalctl -u openproject -g "SQL injection"

• generic web:

curl -I 'https://<openproject_url>/cost_reports?custom_field_name=<sqli_payload>' | grep 'SQL injection'

1. 2026-03-18Disclosure

   disclosure

1. Réservé2026-03-13
2. Publiée2026-03-18
3. Modifiée2026-03-19
4. EPSS mis à jour2026-03-26

La mesure de mitigation principale consiste à mettre à jour OpenProject vers une version corrigée, à savoir la version 16.6.9 ou ultérieure. Si la mise à niveau n'est pas immédiatement possible, une solution de contournement temporaire consiste à désactiver l'utilisation de champs personnalisés dans les rapports de coûts. Il est également recommandé de limiter les privilèges d'administrateur aux seuls utilisateurs qui en ont réellement besoin. Envisagez d'utiliser un pare-feu d'application web (WAF) pour filtrer les requêtes suspectes et bloquer les tentatives d'injection SQL. Surveillez attentivement les journaux d'OpenProject pour détecter toute activité suspecte, en particulier les requêtes SQL inhabituelles. Après la mise à jour, vérifiez l'intégrité de la base de données et assurez-vous que les rapports de coûts fonctionnent correctement sans injection SQL.