OpenProject には、カスタムフィールド名経由の SQL Injection が存在し、Remote Code Execution にチェーンされる可能性があります

このSQLインジェクション脆弱性を悪用すると、攻撃者はOpenProjectデータベースに対して任意のSQLクエリを実行できます。これにより、機密情報（プロジェクトデータ、ユーザー認証情報など）が漏洩したり、データベースの内容が改ざんされたりする可能性があります。さらに、攻撃者はデータベースサーバー上でコマンドを実行したり、他のシステムへのアクセス権を取得したりする可能性があります。Repositories_moduleの別のバグと組み合わせることで、攻撃の影響範囲が拡大する可能性があります。この脆弱性は、特に管理者権限を持つユーザーがカスタムフィールドを生成している場合にリスクが高まります。

Organizations using OpenProject for project management, particularly those with custom fields and Cost Reports enabled, are at risk. Environments with limited access controls or where administrator privileges are broadly granted are especially vulnerable. Shared hosting environments running OpenProject should be carefully assessed.

• linux / server:

journalctl -u openproject -g "SQL injection"

• generic web:

curl -I 'https://<openproject_url>/cost_reports?custom_field_name=<sqli_payload>' | grep 'SQL injection'

1. 2026-03-18Disclosure

   disclosure

1. 予約済み2026-03-13
2. 公開日2026-03-18
3. 更新日2026-03-19
4. EPSS 更新日2026-03-26

OpenProjectのバージョンを16.6.9、17.0.6、17.1.3、または17.2.1以降にアップデートすることが最も効果的な対策です。アップデートできない場合は、カスタムフィールドの使用を一時的に停止するか、カスタムフィールド名に特殊文字が含まれないように制限することでリスクを軽減できます。Webアプリケーションファイアウォール（WAF）を導入し、SQLインジェクション攻撃を検知・防御するルールを設定することも有効です。また、データベースのアクセス制御を強化し、不要な権限を付与しないように注意してください。アップデート後、コストレポートを生成し、SQLクエリに異常がないことを確認してください。