OpenProject में कस्टम फ़ील्ड नाम के माध्यम से SQL Injection है जिसे रिमोट कोड एग्जीक्यूशन (Remote Code Execution) से जोड़ा जा सकता है

यह भेद्यता हमलावरों को डेटाबेस से संवेदनशील जानकारी निकालने, डेटा को संशोधित करने या हटाने, और संभवतः सिस्टम पर नियंत्रण हासिल करने की अनुमति दे सकती है। चूंकि कस्टम फ़ील्ड केवल पूर्ण व्यवस्थापक विशेषाधिकार वाले उपयोगकर्ताओं द्वारा बनाए जा सकते हैं, इसलिए हमला करने की सतह कुछ हद तक कम हो जाती है, लेकिन फिर भी यह एक महत्वपूर्ण जोखिम है। इस भेद्यता का उपयोग करके, हमलावर लागत रिपोर्ट उत्पन्न करते समय SQL इंजेक्शन का फायदा उठा सकते हैं, जिससे डेटाबेस में अनधिकृत पहुंच हो सकती है। अन्य मॉड्यूल में मौजूद एक अन्य बग के साथ मिलकर, यह भेद्यता और भी अधिक गंभीर हो सकती है।

Organizations using OpenProject for project management, particularly those with custom fields and Cost Reports enabled, are at risk. Environments with limited access controls or where administrator privileges are broadly granted are especially vulnerable. Shared hosting environments running OpenProject should be carefully assessed.

• linux / server:

journalctl -u openproject -g "SQL injection"

• generic web:

curl -I 'https://<openproject_url>/cost_reports?custom_field_name=<sqli_payload>' | grep 'SQL injection'

1. 2026-03-18Disclosure

   disclosure

1. आरक्षित2026-03-13
2. प्रकाशित2026-03-18
3. संशोधित2026-03-19
4. EPSS अद्यतन2026-03-26

OpenProject को संस्करण 16.6.9 या उच्चतर में अपग्रेड करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, कस्टम फ़ील्ड के नामों को इनपुट के रूप में उपयोग करने से पहले उन्हें ठीक से सैनिटाइज करें। वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके SQL इंजेक्शन हमलों को ब्लॉक किया जा सकता है। इसके अतिरिक्त, नियमित सुरक्षा ऑडिट और भेद्यता स्कैनिंग से कमजोरियों की पहचान करने और उन्हें कम करने में मदद मिल सकती है।