🇰🇷 한글 설명
OpenProject의 특정 버전에서 GET /api/v3/shares 엔드포인트의 권한 검증 미흡으로 인해 발생합니다. view_shared_work_packages 권한을 가진 사용자가 프로젝트 내 모든 워크 패키지의 상세 정보를 조회할 수 있는 취약점입니다. 이를 통해 개별 워크 패키지에 대한 접근 권한이 없는 사용자도 ID, 제목, 공유된 사용자 및 역할 정보를 노출할 수 있습니다.
💡 쉬운 설명
프로젝트 멤버라면 볼 수 없어야 할 다른 사람들의 비밀 업무 내용과 제목을 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 권한 확인이 프로젝트 단위로만 이루어져서 개별 업무에 대한 접근 제한이 제대로 작동하지 않는 문제입니다.
🇺🇸 원문 (English)
OpenProject is open-source, web-based project management software. Prior to 17.3.2 and 17.4.0, the GET /api/v3/shares endpoint returns share details for ALL work packages in a project to any user with the view_shared_work_packages permission. The authorization check operates at the project level only — it does not verify the requesting user can actually view each individual shared work package. This allows a regular project member to discover work package IDs and subjects (including confidential titles), which users have been granted shared access, what role level was assigned (Editor, Commenter, Viewer). This vulnerability is fixed in 17.3.2 and 17.4.0.
📍 영향받는 시스템
OpenProject 17.3.2 및 17.4.0 미만 버전
⚔️ 공격 벡터
권한이 있는 사용자가 API 엔드포인트를 호출하여 프로젝트 내 모든 워크 패키지의 상세 정보를 요청함
🛡️ 대응 방법
OpenProject를 최신 보안 패치가 적용된 17.3.2 또는 17.4.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 실행 시 본인에게 권한이 없는 워크 패키지의 ID와 제목 정보가 출력된다면 취약한 상태입니다.
curl -s http://<target-ip>/api/v3/shares | grep -E 'id|subject'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access