OpenProjectはオープンソースのウェブベースのプロジェクト管理ソフトウェアです。バージョン16.6.2以前では、権限の低いログインユーザーが他のユーザーのフルネームを閲覧できました。ユーザーIDは連続的かつ予測可能に割り当てられているため（例：1から1000まで）、攻撃者はこれらのURLを順にたどることで、すべてのユーザーのフルネームの完全なリストを抽出できます。同様の動作はOpenProject APIを介しても再現でき、APIを通じて自動的にフルネームを取得することも可能です。この問題はバージョン16.6.2で修正されました。アップグレードが不可能な場合は、手動でパッチを適用することを推奨します。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。