OpenProject存在通过自定义字段名称的SQL注入漏洞，可与其他漏洞串联实现远程代码执行

该 SQL 注入漏洞的潜在影响非常严重。攻击者可以利用此漏洞访问和修改 OpenProject 数据库中的敏感数据，例如用户凭据、项目信息和财务数据。更进一步，攻击者可能能够利用此漏洞执行恶意代码，从而完全控制受影响的系统。由于自定义字段的创建需要管理员权限，攻击面有所限制，但如果攻击者已经获得了管理员权限，则后果不堪设想。结合仓库模块中的另一个漏洞，攻击的影响可能进一步扩大。

Organizations using OpenProject for project management, particularly those with custom fields and Cost Reports enabled, are at risk. Environments with limited access controls or where administrator privileges are broadly granted are especially vulnerable. Shared hosting environments running OpenProject should be carefully assessed.

• linux / server:

journalctl -u openproject -g "SQL injection"

• generic web:

curl -I 'https://<openproject_url>/cost_reports?custom_field_name=<sqli_payload>' | grep 'SQL injection'

1. 2026-03-18Disclosure

   disclosure

1. 已保留2026-03-13
2. 发布日期2026-03-18
3. 修改日期2026-03-19
4. EPSS 更新日期2026-03-26

最有效的缓解措施是立即将 OpenProject 升级到 16.6.9 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制自定义字段的使用，特别是在成本报告中。审查并加强 OpenProject 数据库的访问控制策略，确保只有授权用户才能访问敏感数据。实施 Web 应用防火墙 (WAF) 规则，以检测和阻止 SQL 注入攻击。在升级后，请验证漏洞是否已成功修复，例如通过尝试触发成本报告并检查 SQL 查询是否已正确清理。