Insecure Direct Object Reference in OpenProject Meetings
Nutzer mit der Berechtigung 'Meetings ansehen' in einem beliebigen OpenProject-Projekt können über eine fehlerhafte Berechtigungsprüfung Meeting-Details aus Projekten einsehen, auf die sie eigentlich keinen Zugriff haben.
Betroffene Software
- Produkt
- OpenProject
- Betroffene Versionen
- <= 16.6.2
- Hersteller
- OpenProject GmbH
- CVSS-Vektor
- CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
Technische Analyse
OpenProject ist eine verbreitete Open-Source-Projektmanagement-Software, die Unternehmen für Aufgabenplanung, Zeiterfassung und - über das Meetings-Modul - für die Organisation und Dokumentation von Projektbesprechungen einsetzen. Die von AWARE7-Researcherin Elisa Popowicz entdeckte Schwachstelle CVE-2026-22605 betrifft genau dieses Modul in Versionen bis einschließlich 16.6.2.
Der Fehler liegt in der Berechtigungsprüfung (CWE-284, Improper Access Control): Beim Zugriff auf ein einzelnes Meeting validiert die Anwendung die Berechtigung anhand des Projekts, das in der URL angegeben ist - nicht anhand des tatsächlichen übergeordneten Projekts, dem das Meeting real zugeordnet ist. Ein Nutzer mit der Berechtigung 'Meetings ansehen' in irgendeinem Projekt kann durch gezielte Manipulation der Meeting-ID auf Besprechungsdetails aus Projekten zugreifen, für die er keine Berechtigung besitzt - ein klassischer Fall von Insecure Direct Object Reference.
Der CVSS-Score von 4.3 (Moderate) spiegelt eine auf Vertraulichkeit begrenzte, aber real nutzbare Informationslücke wider (C:L/I:N/A:N) - betroffen sind ausschließlich Meeting-Inhalte, nicht die Integrität oder Verfügbarkeit des Systems. Die Ausnutzung erfordert lediglich einen bereits authentifizierten Nutzer mit niedrigen Rechten (PR:L) und keinerlei Interaktion eines Opfers (UI:N).
In der Praxis können Meeting-Protokolle jedoch hochsensible Informationen enthalten: strategische Entscheidungen, Personalthemen oder vertrauliche Kundendaten. Gerade in größeren OpenProject-Instanzen mit vielen Projekten und wechselnden Team-Konstellationen ist das Risiko einer ungewollten Informationsoffenlegung entsprechend real. Der Hersteller hat die Schwachstelle mit Version 16.6.3 behoben.
Empfohlene Maßnahmen
- Sofort: Update auf Version 16.6.3 durchführen
- Kurzfristig: Berechtigungsvergabe für das Meetings-Modul projektübergreifend prüfen
- Langfristig: Regelmäßige Penetrationstests der Projektmanagement-Infrastruktur durchführen
Wir testen Ihre Web-Applikationen auf genau solche Schwachstellen. Erfahren Sie mehr über unsere Penetrationstests →
Responsible Disclosure Timeline
-
Patch veröffentlicht (Version 16.6.3)
-
Advisory veröffentlicht
Empfohlene Gegenmaßnahmen
Update auf OpenProject Version 16.6.3 oder höher. Alternativ kann das Meetings-Modul deaktiviert oder die Berechtigung 'Meetings ansehen' rollenübergreifend eingeschränkt werden - ein direkter Workaround existiert laut Hersteller nicht.
AWARE7 Leistung zum Thema
Schützen Sie Ihre Systeme proaktiv: Mit gezielten Penetrationstests identifizieren wir Schwachstellen wie diese frühzeitig und liefern konkrete Handlungsempfehlungen zur Behebung.
Web-Applikations-Penetrationstest
