JVNDB-2026-008255

OpenProjectにおけるSQL インジェクションの脆弱性

OpenProjectはオープンソースのウェブベースプロジェクト管理ソフトウェアです。バージョン16.6.9、17.0.6、17.1.3、および17.2.1より前のバージョンには、カスタムフィールドの名前を介したSQLインジェクション攻撃に対して脆弱性がありました。そのカスタムフィールドがコストレポートで使用される場合、カスタムフィールドの名前が適切にサニタイズされずにSQLクエリに注入されていました。これにより、攻撃者はコストレポートの生成中に任意のSQLコマンドを実行できました。カスタムフィールドはフル管理者権限を持つユーザーのみが生成可能であるため、攻撃対象はある程度限定されます。さらに、リポジトリモジュールの別のバグと組み合わせることで、プロジェクト識別子がサニタイズされることなくGitリポジトリのチェックアウトパス生成に使われたため、攻撃者はサーバー上の任意のパスにGitリポジトリをチェックアウトできました。チェックアウトがOpenProjectアプリケーション内の特定パスで行われると、次回アプリケーションの再起動時に攻撃者はRubyコードを注入可能となります。プロジェクト識別子はドットやスラッシュといった特殊文字を含む文字列に手動編集できないため、これは前述のSQLインジェクションを介して変更する必要があります。本問題はバージョン16.6.9、17.0.6、17.1.3、および17.2.1で修正されています。

OpenProject

• OpenProject 16.6.9 未満
• OpenProject 17.0.0 以上 17.0.6 未満
• OpenProject 17.1.0 以上 17.1.3 未満
• OpenProject 17.2.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SQL Injection via Custom Field Name can be chained to Remote Code Execution  Advisory  opf/openproject  GitHub

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-32698

1. National Vulnerability Database (NVD) : CVE-2026-32698

• [2026年03月24日]
    掲載