JVNDB-2026-003611

OpenProjectにおけるOS コマンドインジェクションの脆弱性

OpenProjectはオープンソースのWebベースのプロジェクト管理ソフトウェアです。バージョン16.6.7および17.0.3より前のバージョンでは、OpenProjectのリポジトリ変更エンドポイント（/projects/:project_id/repository/changes）において、「最新の変更」ビューをgit log経由でレンダリングする際に任意のファイル書き込みの脆弱性が存在しました。特別に細工されたrev値（例：rev=--output=/tmp/poc.txt）を指定することで、攻撃者はgit logコマンドのコマンドラインオプションを注入可能です。OpenProjectがSCMコマンドを実行すると、Gitは攻撃者が制御するrevをオプションとして解釈し、出力を攻撃者が選択したパスに書き込みます。その結果、プロジェクト上で:browse_repository権限を持つ任意のユーザーが、OpenProjectプロセスユーザーが書き込み可能な任意のファイルを作成または上書きできます。書き込まれる内容はgit logの出力ですが、攻撃者はカスタムコミットを作成することで有効なシェルスクリプトをアップロードでき、最終的にRCE（リモートコード実行）に繋がります。このRCEにより攻撃者はターゲットホストへのリバースシェルを作成し、OpenProject外の機密ファイル（例：/etc/passwd）を閲覧可能になります。この問題はバージョン16.6.7および17.0.3で修正されています。

OpenProject

• OpenProject 16.6.7 未満
• OpenProject 17.0.0 以上 17.0.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Command Injection on OpenProject repositories leads to Remote Code Execution  Advisory  opf/openproject  GitHub

1. OSコマンドインジェクション(CWE-78) [その他]

1. CVE-2026-25763

1. National Vulnerability Database (NVD) : CVE-2026-25763
2. 関連文書 : Release OpenProject 17.0.3  opf/openproject  GitHub
3. 関連文書 : Release OpenProject 16.6.7  opf/openproject  GitHub

• [2026年02月17日]
    掲載