OpenProject のリポジトリファイルが MIME タイプと共に提供され、Content Security Policy をバイパスできる

この脆弱性を悪用されると、攻撃者はRepositoriesページにアクセスするOpenProjectのプロジェクトメンバーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、攻撃者はセッションCookieを盗み出し、ユーザーになりすまして機密情報にアクセスしたり、悪意のある操作を実行したりすることが可能になります。また、攻撃者はWebサイトの見た目を改ざんしたり、ユーザーを悪意のあるWebサイトにリダイレクトしたりすることもできます。この脆弱性は、プロジェクトの機密情報漏洩、不正な操作実行、およびWebサイトの信頼性低下につながる可能性があります。類似のXSS脆弱性は、Webアプリケーションにおいて頻繁に発生するセキュリティリスクであり、適切な入力検証と出力エスケープ処理の欠如が原因となることが多いです。

Organizations using OpenProject for project management, particularly those with multiple users and shared repositories, are at risk. Teams relying on OpenProject for sensitive project data are especially vulnerable, as the XSS attack could lead to data theft or unauthorized access. Users with push access to repositories represent the most immediate threat.

• linux / server: Monitor OpenProject logs for unusual activity related to repository commits. Use journalctl -f to observe repository access patterns and look for suspicious filenames.

journalctl -f | grep 'repository commit' | grep -i 'html'

• generic web: Examine OpenProject access and error logs for requests containing suspicious HTML code in filenames. Use curl to test repository endpoints with crafted filenames and observe the response for signs of XSS.

curl 'https://openproject.example.com/repositories/your_repo/commits?filename=<script>alert("XSS")</script>' -s

1. 2026-03-18Disclosure

   disclosure

1. 予約済み2026-03-13
2. 公開日2026-03-18
3. 更新日2026-03-19
4. EPSS 更新日2026-03-26

この脆弱性への対応策として、OpenProjectをバージョン16.6.9、17.0.6、17.1.3、または17.2.1にアップデートすることを推奨します。アップデートが困難な場合は、リポジトリモジュールへのアクセスを制限し、信頼できないユーザーからのpushアクセスを禁止することでリスクを軽減できます。また、Webアプリケーションファイアウォール（WAF）を導入し、XSS攻撃を検知・防御するルールを設定することも有効です。さらに、Repositoriesページの入力フィールドに対する厳格な入力検証を実施し、HTMLコードの注入を防止する対策を講じることが重要です。アップデート後、Repositoriesページにアクセスし、ファイル名に特殊文字が含まれていても正しく表示されることを確認してください。