OpenProject: कॉस्ट रिपोर्टिंग में SQL इंजेक्शन (=n ऑपरेटर parse_number_string के माध्यम से)

OpenProject में CVE-2026-34717 एक गंभीर जोखिम पैदा करता है, CVSS स्कोर 9.9 के साथ, एक SQL इंजेक्शन भेद्यता के कारण। 17.2.3 संस्करण से पहले, स्रोत कोड में '=n' ऑपरेटर का उपयोग करके, उपयोगकर्ता इनपुट को उचित पैरामीटराइजेशन के बिना SQL WHERE क्लॉज में सीधे एम्बेड करना संभव था। इससे एक हमलावर SQL क्वेरी को हेरफेर कर सकता है, संभावित रूप से डेटाबेस से संवेदनशील डेटा निकाल सकता है, इसे संशोधित कर सकता है या सिस्टम की अखंडता को खतरे में डाल सकता है। इस भेद्यता की गंभीरता इसकी आसान शोषण और OpenProject डेटा की गोपनीयता, अखंडता और उपलब्धता को नुकसान पहुंचाने की क्षमता के कारण है। पैरामीटराइजेशन की कमी एक सामान्य दोष है जिसका उपयोग हमलावरों द्वारा किया जा सकता है, भले ही उनकी सुरक्षा विशेषज्ञता सीमित हो।

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-02
3. संशोधित2026-04-03
4. EPSS अद्यतन2026-04-10

CVE-2026-34717 को कम करने का समाधान OpenProject को संस्करण 17.2.3 या उच्चतर में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो SQL क्वेरी के उचित पैरामीटराइजेशन को लागू करता है, जिससे दुर्भावनापूर्ण कोड का इंजेक्शन रोका जा सकता है। अपग्रेड करने तक, डेटाबेस एक्सेस को प्रतिबंधित करने, फ़ायरवॉल लागू करने और संदिग्ध गतिविधि की निगरानी करने जैसे अतिरिक्त सुरक्षा उपाय करने पर विचार करें। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि फिक्स सही ढंग से लागू किया गया है और कोई नई समस्या नहीं आई है, गहन परीक्षण किया जाना चाहिए। इसके अतिरिक्त, संगठन की सुरक्षा नीतियों की समीक्षा करना और भविष्य की घटनाओं को रोकने के लिए कर्मियों को सुरक्षा सर्वोत्तम प्रथाओं पर प्रशिक्षित करना भी अनुशंसित है।