Plataforma
rails
Componente
openproject
Corrigido em
17.2.4
CVE-2026-34717 descreve uma vulnerabilidade de SQL Injection no OpenProject, um software de gestão de projetos web. A falha permite que um atacante execute comandos SQL arbitrários, comprometendo a integridade e confidencialidade dos dados. Afeta versões anteriores à 17.2.3. A vulnerabilidade foi corrigida na versão 17.2.3.
A vulnerabilidade CVE-2026-34717 no OpenProject, com uma pontuação CVSS de 9.9, representa um risco crítico devido a uma injeção de SQL. Antes da versão 17.2.3, o uso do operador '=n' no código fonte permitia a inserção direta de dados fornecidos pelo usuário nas cláusulas WHERE das consultas SQL, sem a devida parametrização. Isso significa que um atacante poderia manipular as consultas SQL, potencialmente extraindo informações sensíveis do banco de dados, modificando-as ou até mesmo comprometendo a integridade do sistema. A gravidade desta vulnerabilidade reside na sua facilidade de exploração e no potencial dano que pode causar à confidencialidade, integridade e disponibilidade dos dados do OpenProject. A falta de parametrização é uma falha comum que pode ser explorada por atacantes, mesmo aqueles com experiência limitada em segurança.
A vulnerabilidade está localizada no módulo de relatórios do OpenProject, especificamente no arquivo operator.rb. Um atacante poderia explorar esta vulnerabilidade enviando dados maliciosos através da interface do usuário que são processados sem a validação adequada. Esses dados maliciosos são então injetados diretamente na consulta SQL, permitindo que o atacante controle a lógica da consulta. A exploração bem-sucedida geralmente requer que o atacante tenha a capacidade de enviar dados através da interface do usuário do OpenProject, o que geralmente implica ter uma conta de usuário válida. No entanto, a falta de autenticação ou autorização adequada pode potencialmente permitir que um atacante não autenticado explore a vulnerabilidade.
Status do Exploit
EPSS
0.05% (percentil 15%)
CISA SSVC
Vetor CVSS
A solução para mitigar CVE-2026-34717 é atualizar o OpenProject para a versão 17.2.3 ou superior. Esta versão inclui uma correção que implementa a parametrização adequada das consultas SQL, prevenindo a injeção de código malicioso. Enquanto a atualização não for realizada, recomenda-se implementar medidas de segurança adicionais, como restringir o acesso ao banco de dados, implementar firewalls e monitorar a atividade suspeita. É crucial realizar testes exaustivos após a atualização para garantir que a correção tenha sido aplicada corretamente e que não tenha introduzido novos problemas. Além disso, recomenda-se revisar as políticas de segurança da organização e treinar o pessoal sobre as melhores práticas de segurança para prevenir futuros incidentes.
Actualice OpenProject a la versión 17.2.3 o superior. Esta versión corrige la vulnerabilidad de inyección SQL. La actualización se puede realizar a través del panel de administración de OpenProject o siguiendo las instrucciones de actualización proporcionadas por el proveedor.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
A injeção de SQL é uma técnica de ataque que permite aos atacantes manipular consultas SQL para obter acesso não autorizado a dados ou modificar o banco de dados.
Uma pontuação CVSS de 9.9 indica uma vulnerabilidade crítica, o que significa que é altamente provável que seja explorada e pode causar danos significativos.
Se não puder atualizar imediatamente, implemente medidas de segurança adicionais, como restringir o acesso ao banco de dados e monitorar a atividade suspeita.
Existem ferramentas de verificação de vulnerabilidades que podem detectar a injeção de SQL. Consulte seu provedor de segurança para obter recomendações.
Você pode encontrar mais informações sobre CVE-2026-34717 no Banco de Dados Nacional de Vulnerabilidades do NIST.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.