OpenProject — это веб-программное обеспечение для управления проектами с открытым исходным кодом. До версии 17.2.3 оператор =n в модулях/reporting/lib/report/operator.rb:177 встраивает пользовательский ввод непосредственно в предложения SQL WHERE без параметризации. Эта проблема исправлена в версии 17.2.3.
Показать оригинальное описание (EN)
OpenProject is an open-source, web-based project management software. Prior to version 17.2.3, the =n operator in modules/reporting/lib/report/operator.rb:177 embeds user input directly into SQL WHERE clauses without parameterization. This issue has been patched in version 17.2.3.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1