Les fichiers de dépôt d'OpenProject sont servis avec un type MIME permettant de contourner la Content Security Policy

Cette vulnérabilité XSS persistante est particulièrement préoccupante car elle permet à un attaquant d'injecter du code JavaScript malveillant qui sera exécuté dans le navigateur de tous les utilisateurs accédant à la page des dépôts. L'attaquant peut ainsi voler des informations sensibles, modifier le contenu de la page, ou même rediriger les utilisateurs vers des sites malveillants. Le vecteur d'attaque est l'injection de code HTML dans les noms de fichiers des commits. Une fois le code injecté, il est stocké et servi à chaque utilisateur accédant à la page des dépôts, ce qui rend l'attaque persistante. Cette faille exploite une absence d'échappement correct des noms de fichiers, permettant l'injection de code malveillant. Bien que l'accès push soit requis, il s'agit d'un niveau d'accès relativement courant dans les environnements de développement.

Organizations using OpenProject for project management, particularly those with multiple users and shared repositories, are at risk. Teams relying on OpenProject for sensitive project data are especially vulnerable, as the XSS attack could lead to data theft or unauthorized access. Users with push access to repositories represent the most immediate threat.

• linux / server: Monitor OpenProject logs for unusual activity related to repository commits. Use journalctl -f to observe repository access patterns and look for suspicious filenames.

journalctl -f | grep 'repository commit' | grep -i 'html'

• generic web: Examine OpenProject access and error logs for requests containing suspicious HTML code in filenames. Use curl to test repository endpoints with crafted filenames and observe the response for signs of XSS.

curl 'https://openproject.example.com/repositories/your_repo/commits?filename=<script>alert("XSS")</script>' -s

1. 2026-03-18Disclosure

   disclosure

1. Réservé2026-03-13
2. Publiée2026-03-18
3. Modifiée2026-03-19
4. EPSS mis à jour2026-03-26

La mitigation principale consiste à mettre à jour OpenProject vers la version 17.2.1 ou ultérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, il est recommandé de restreindre l'accès push aux dépôts aux utilisateurs de confiance. En attendant la mise à jour, une solution de contournement pourrait consister à configurer un Web Application Firewall (WAF) pour bloquer les requêtes contenant des caractères suspects dans les noms de fichiers. Il est également possible de surveiller les journaux d'accès pour détecter des tentatives d'injection de code HTML dans les noms de fichiers. Après la mise à jour, vérifiez que les noms de fichiers affichés dans la page des dépôts sont correctement échappés et ne contiennent pas de code HTML non désiré.