OpenProjectはオープンソースのウェブベースのプロジェクト管理ソフトウェアです。バージョン16.6.2以前のOpenProjectでは、認証不要のパスワード変更エンドポイント（/account/change_password）が通常のログインフォームに適用されるブルートフォース防御策で保護されていませんでした。影響を受けるバージョンでは、攻撃者がユーザーIDを推測あるいは列挙できる場合、ロックアウトやその他のレート制限制御を発動させることなく、特定のアカウントに対して無制限にパスワード変更リクエストを送信できます。これにより、有効なアカウントに対して自動化されたパスワード推測（例えば、一般的なパスワードの単語リストを用いるもの）が可能になります。推測に成功すると、対象ユーザーのアカウントを完全に乗っ取ることができ、そのユーザーの役割によっては、アプリケーション内でさらに権限昇格を引き起こす可能性があります。この問題はバージョン16.6.2で修正されました。アップグレードが困難な場合は、手動でパッチを適用することが可能です。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。