В платформе для управления проектами OpenProject появилась уязвимость BDU:2026-17516 (CVE-2026-34717). Пользователь с обычной учётной записью может внедрить команды SQL и выполнить на сервере произвольный код. По шкале CVSS 3.1 рейтинг достигает 9,9 из 10, это критический уровень. По CVSS 2.0 оценка 8,7, высокий уровень. Публичный эксплойт, то есть готовый инструмент для использования ошибки, уже доступен. Затронуты версии до 15.0.0 включительно.
CVE-2026-34717 и SQL-инъекция в OpenProject
Проблема относится к классу CWE-89, непринятие мер по защите структуры SQL-запроса. SQL - язык запросов к базе данных. Приложение принимает данные от пользователя и подставляет их в обращение к базе без достаточной проверки. В результате текст, который должен остаться обычным значением, может изменить логику запроса. Это и есть SQL-инъекция. Подобные ошибки встречаются давно, но не теряют актуальности. По описанию Банка данных угроз безопасности информации (BDU), эксплуатация ведёт к выполнению произвольного кода. Атака возможна по сети, а взаимодействие с жертвой не требуется. Права пользователя при этом могут быть низкими, то есть достаточно обычной учётной записи.
Вектор CVSS 3.1 учитывает сетевой доступ, низкие привилегии и отсутствие участия пользователя. Для атаки не нужен клик по ссылке или открытие файла. Злоумышленнику достаточно отправить специально сформированный запрос к уязвимому компоненту. Успех зависит от настроек конкретной установки и прав, с которыми работает OpenProject. Чем шире эти права, тем больше данных и функций окажется доступно.
OpenProject хранит задачи, сроки, документы, обсуждения и сведения о командах. Компрометация сервера ставит под удар эти данные и внутренние процессы. Злоумышленник с исполнением кода может читать файлы, менять конфигурацию и использовать систему для дальнейших действий. Если платформа доступна из интернета или из общей корпоративной сети, круг потенциальных атакующих расширяется. Публичный эксплойт повышает риск: готовый инструмент упрощает проверку и использование ошибки. Сведений о применении уязвимости в реальных атаках в исходных данных нет. Это не отменяет необходимости закрыть проблему.
OpenProject часто используют как общую рабочую среду. В ней могут быть ссылки на другие внутренние системы, вложения и интеграции. Компрометация такого узла затрагивает не только проектную документацию. Для команд с несколькими проектами последствия усиливаются: один сервер обслуживает сразу несколько групп.
Производитель подтвердил уязвимость и опубликовал исправление в релизе 17.2.3. В карточке BDU указано, что проблема закрыта. Уязвимы версии до 15.0.0 включительно. Точный перечень промежуточных сборок между 15.0.0 и 17.2.3 в карточке не раскрыт. Администраторам нужно ориентироваться на релиз 17.2.3. Официальная мера - обновление программного обеспечения. В BDU также есть ссылки на релиз, консультацию безопасности и публичный эксплойт на GitHub.
Обновление до 17.2.3 закрывает уязвимость. Если перейти на него нельзя, ограничьте доступ к OpenProject доверенными сетями. Отключите неиспользуемые учётные записи и проверьте права пользователей. Эти меры не заменяют исправление, но уменьшают число возможных точек входа.
Платформы для совместной работы накапливают чувствительные данные. Ошибка в обработке SQL-запросов превращается в выполнение кода, а публичный эксплойт ускоряет распространение атак. SQL-инъекции остаются распространённым классом ошибок. Они могут давать прямой доступ к базе. Для OpenProject критичность зависит от того, насколько широко платформа открыта и сколько учётных записей имеют доступ. Чем быстрее администраторы перейдут на 17.2.3, тем меньше времени останется у злоумышленников.
Ссылки
- https://bdu.fstec.ru/vul/2026-17516
- https://www.cve.org/CVERecord?id=CVE-2026-34717
- https://github.com/opf/openproject/releases/tag/v17.2.3
- https://github.com/opf/openproject/security/advisories/GHSA-5rrm-6qmq-2364
- https://github.com/quanlevan1207/cve-2026-34717-exploit
