OpenProject - это программное обеспечение для управления проектами с открытым исходным кодом. Пользователи версий OpenProject до 16.6.5 и 1…

OpenProject - это программное обеспечение для управления проектами с открытым исходным кодом. Пользователи версий OpenProject до 16.6.5 и 17.0.1 имеют возможность просматривать и заканчивать свои активные сеансы через настройки учетной записи → Сеансы. При удалении сеанса не было должным образом проверено, принадлежит ли сеанс пользователю. Поскольку идентификатор, используемый для идентификации этих объектов сеанса, использует дополнительные целые единицы, пользователи могут итерировать запросы с помощью `DELETE /my/sessions/:id` и, таким образом, не достверить подлинность других пользователей. Пользователи не имели доступа к какой-либо конфиденциальной информации (например, идентификатора браузера, IP-адресов и т.д.) других пользователей, которые хранятся в сеансе. Проблема была исправлена в версиях OpenProject 16.6.5 и 17.0.1. Никаких известных обходных маршрутов не доступно, поскольку это не требует каких-либо разрешений или других, которые могут быть временно отключены.