OpenProject 17.3.3 安全更新深度解析七个安全漏洞的修复机制与源码级剖析【免费下载链接】openprojectOpenProject is the leading open source project management software for product, project and portfolio management. A powerful Jira alternative with agile planning, issue tracking, roadmaps, Gantt charts, time tracking, collaboration features, and more. Available on premises or in the cloud. ⭐ Star us on GitHub项目地址: https://gitcode.com/GitHub_Trending/op/openproject本篇技术指南基于 OpenProject 17.3.3 版本的发布说明逐条剖析该版本修复的七个安全漏洞1 个 CVE 6 个 GHSA 公告的攻击原理与影响面并结合开源仓库中 Storages 文件存储模块的真实源码还原令牌缓存、项目存储绑定等关键实现路径帮助运维与开发者评估风险、理解修复点并安全地完成版本升级。版本概览OpenProject 17.3.3 发布于 2026-06-08官方明确建议用户升级到最新版本。该版本的核心内容是安全修复修复的漏洞均来自 YesWeHack.com 平台上的 OpenProject Bug Bounty 计划由欧洲委员会赞助因此每条漏洞描述都附带了可复现的攻击链细节。从发布说明结构看本仓库中该版本的自动填充“Bug fixes and changes”区块尚未生成条目见 17-3-3 发布说明 中BEGIN AUTOMATED SECTION与END AUTOMATED SECTION之间的空区块因此本次更新应被视为一次安全优先的维护性发布——升级动机是安全而非新功能。安全修复清单总览公告编号漏洞类型受影响功能关键影响CVE-2026-47193越权访问IDOR 变体Journal diff 接口绕过对象、日志、字段三级可见性检查GHSA-3vpx-94qx-xpw6IDOR项目存储StoragesPATCH 接口劫持其他项目受管文件夹的 ACLGHSA-6crw-7f5r-4qj9CSRFTARGET 型用户管理/users/:id配合 XSS 可无交互提交表单GHSA-98vw-2r87-fx2rSQL 注入基线对比timestamps参数数据库写原语 → 管理员提权GHSA-h83w-5q5x-pq27敏感信息明文存储缓存后端中的 OAuth 令牌缓存读权限即可还原 Azure-AD 应用级 Bearer 令牌GHSA-q33w-f822-hg8x存储型 XSS工作包description任意 Turbo Stream 动作含重定向GHSA-qj96-f42f-6336缓存投毒Rails 缓存远程代码执行RCECVE-2026-47193Journal diff 端点绕过三级可见性检查该漏洞位于工作包日志Journal的 diff 接口。发布说明指出该端点在返回日志差异时绕过了对象级work package、日志级journal与字段级field三层可见性检查即本应对当前用户不可见的工作包、不可见的日志条目或不可见的属性字段都可以通过 diff 端点被读取。从 OpenProject 的权限模型看工作包属性在读取时通常经过字段级授权过滤diff 端点作为独立入口如果在构造差异时直接查询历史属性值而没有复用同一套可见性过滤逻辑就会出现主接口拦截、旁路接口放行的经典越权模式。修复后的版本将 diff 接口的数据访问纳入了与常规读取一致的可见性判定路径。GHSA-3vpx-94qx-xpw6项目存储 PATCH 参数导致的跨项目 IDOR这条漏洞与仓库中的Storages 模块直接相关攻击链如下A 项目的项目管理员向PATCH /projects/A/settings/project_storages/{A_ps_id}发送请求在参数storages_project_storage[project_folder_id]中写入 B 项目的文件夹 ID服务端将受害项目的project_folder_id写入了攻击者自己的Storages::ProjectStorage行下一次受管文件夹同步时系统以该project_folder_id为准重写 Nextcloud 或 OneDrive 上对应文件夹的 ACL把权限设置成攻击者项目的用户列表——受害项目的文件夹访问控制被整体劫持。仓库源码印证了这条链路的两个关键实现点项目存储的查找与权限入口Storages::ProjectStoragesController 中find_project_storage通过project.project_storages.find(params[:id])限定作用域第 55–57 行open动作前依次执行ensure_remote_identity、ensure_folder_created、ensure_folder_permissions三个前置动作第 42–44 行并在ensure_folder_permissions中调用#{storage}.services.upkeep_managed_folder_permissions服务同步文件夹权限第 107–109 行——正是漏洞描述中下次同步重写 ACL的触发点更新契约project_folder_id作为可写参数出现在 project_storages 基础契约 中修复后的版本对该参数增加了所属项目一致性校验拒绝写入其他项目的文件夹 ID。GHSA-6crw-7f5r-4qj9Turbo Drive 自动注入 CSRF 令牌引发的 TARGET 型 CSRF这条漏洞的利用条件与前端框架特性紧密相关攻击者先通过 XSS 注入一个 Turbo Stream 的append动作向页面插入一个指向/users/:id的表单携带user[admin]参数Turbo Drive 会自动为注入的表单填充 CSRF 令牌取自meta namecsrf-token受害者无需做任何交互即可通过 CSRF 校验注入的第二个 Turbo Stream 动作dispatch_eventnamesubmit会自动提交该表单——受害者只需打开对应工作包页面user[admin]参数即被写入目标用户记录TARGET 型 CSRF攻击者不选择受害者受害者撞上恶意页面即中招。修复方向是切断XSS → Turbo Stream 表单注入 → 自动提交这条链路HTML 净化器不再放行可挂载任意 Stimulus 控制器的属性与下一条 XSS 修复协同并对该参数路径加固了防护。GHSA-98vw-2r87-fx2rtimestamps 功能 SQL 注入与管理员提权这是本次发布中危害等级最高的一条漏洞完整攻击链如下OpenProject 的基线对比功能允许调用方通过timestamps参数请求工作包的历史属性值时间戳解析器因正则使用行锚点接受首行出现相对日期关键字的输入解析器虽然校验了输入但保留并复用了原始多行字符串后续该字符串被直接拼接进原始 SQL 表达式CASE ... THEN timestamp能够保存查询的已认证用户可以持久化一个包含字面逗号的timestamps数组值借此触发顶层数据修改 CTE公共表表达式这赋予了攻击者以 OpenProject 应用数据库角色执行写操作的通用数据库写原语演示影响攻击者用该原语更新自己的账户记录将管理员标志置为true实现管理员提权同一注入还可以通过工作包时间戳元数据实现带内数据窃取。从源码结构看时间戳相关的日期边界逻辑集中在查询操作符层如 date_limits 操作符 所在目录修复后的版本确保拼接进 SQL 的时间戳值来自解析后的规范化结果而非原始多行输入消除注入面。GHSA-h83w-5q5x-pq27缓存中明文存储 OAuth access_token这条漏洞的根因可以在仓库源码中完整还原。Storages 模块的用户无关userlessOAuth 认证策略使用固定模板的缓存键保存 Azure-AD 应用级 Bearer 令牌# modules/storages/app/common/storages/adapters/authentication_strategies/oauth_client_credentials.rb TOKEN_CACHE_KEY storage.%s.httpx_access_token # 第 35 行 def call(storage:, http_options: {}) token_cache_key TOKEN_CACHE_KEY % storage.id # 第 45 行 access_token use_cache ? OpenProject::ConfidentialCache.read(token_cache_key) : nil # ... case operation_result in Success if use_cache access_token.blank? write_cache(token_cache_key, session) # 成功且无缓存时写入 in Failure(code: :forbidden) clear_cache(token_cache_key) # 403 时清除缓存 # ... end def write_cache(key, httpx_session) access_token httpx_session.send(:oauth_session).access_token OpenProject::ConfidentialCache.write(key, access_token, expires_in: 50.minutes) end可见令牌以确定性键名storage.id.httpx_access_token写入Rails.cache缓存有效期 50 分钟并由每小时定时任务与所有 userless-OAuth 调用点持续回填。发布说明指出Rails 允许的三种缓存后端file_store、memcache、redis均不做静态加密攻击者只要具备缓存后端的读权限即可通过 memcached 二进制协议或 Redis 等价操作以匿名get还原出 Azure-AD 应用级 Bearer 令牌——该令牌可代表整个应用访问 SharePoint/OneDrive 数据影响远不止单个项目。对运维人员的直接启示缓存后端memcached/redis/file_store必须限制在内网可信网段不得对容器网络或宿主机上其他服务暴露匿名读权限若无法保证缓存隔离应评估将Rails.cache后端切换为受 ACL 严格管控的实例。GHSA-q33w-f822-hg8x工作包 description 存储型 XSS 与任意 Turbo Stream 执行利用链路展示了净化器白名单过宽 → 前端框架自动行为的组合风险HTML 净化器对macro元素开放了:data通配属性攻击者向POST /api/v3/projects/{project}/work_packages的description字段注入data-controllerpoll-for-changes受害者打开工作包时Stimulus.js 自动挂载poll-for-changes控制器该控制器拉取攻击者上传的附件并传入renderStreamMessage()从而在每个受害者已认证浏览器会话中执行任意 Turbo Stream 动作——包括redirect_to把受害者重定向到攻击者服务器。修复后的版本收紧了净化器对data-*属性的放行范围使无法通过注入的自定义data-controller值挂载攻击者指定的 Stimulus 控制器。GHSA-qj96-f42f-6336缓存 store 投毒导致 RCE发布说明将该公告标注为Cache store poisoning leads to Remote Code Execution (RCE)即攻击者可向 Rails 缓存中写入被篡改的条目利用 Ruby 反序列化路径在服务器上执行任意代码。与上一条令牌明文存储漏洞同源缓存后端既无加密、又若暴露读/写面攻击者就能既读走敏感数据又能写入投毒内容。因此升级之外收紧缓存后端的网络暴露面是消除这两类攻击的共同前置条件。关联源码路径索引关注点仓库路径令牌缓存键与写入/清除逻辑oauth_client_credentials.rb项目存储控制器与受管文件夹同步入口project_storages_controller.rbproject_folder_id可写契约IDOR 修复点base_contract.rb本版本发布说明原文README.md升级与加固建议优先升级到 17.3.3 或更高版本七个漏洞中至少三条SQL 注入提权、缓存投毒 RCE、XSS 重定向具备已认证的远程利用条件不应推迟处理隔离缓存后端核查Rails.cache后端file_store/memcache/redis的监听地址与访问控制确保仅应用进程所在网络命名空间可达这是同时缓解 GHSA-h83w-5q5x-pq27 与 GHSA-qj96-f42f-6336 的运维层措施审计 Storages 配置若启用了 Nextcloud/OneDrive/SharePoint 集成并开启了自动受管文件夹automatic folder mode升级前建议人工核对各项目project_folder_id是否指向本项目的文件夹防止历史数据已被污染复核基线查询检查是否存在保存了异常timestamps值的历史查询尤其是包含逗号或换行的时间戳数组升级后清理可疑条目关注发布说明的自动化区块本仓库的发布说明中Bug fixes and changes区块由发布脚本自动填充见!-- BEGIN AUTOMATED SECTION --注释完整缺陷清单以该区块生成后的内容为最终依据。适用前提本文所有源码级分析均基于当前仓库快照对应 17.3.3 发布后的代码状态漏洞细节以发布说明与对应安全公告原文为准文中未逐字复述的攻击代码不属于仓库可验证内容仅作机制描述。【免费下载链接】openprojectOpenProject is the leading open source project management software for product, project and portfolio management. A powerful Jira alternative with agile planning, issue tracking, roadmaps, Gantt charts, time tracking, collaboration features, and more. Available on premises or in the cloud. ⭐ Star us on GitHub项目地址: https://gitcode.com/GitHub_Trending/op/openproject创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
