OpenProjectはオープンソースのウェブベースプロジェクト管理ソフトウェアです。OpenProjectのバージョン16.6.5より前および17.0.1より前のユーザーは、アカウント設定のセッションから自身のアクティブなセッションを表示および終了することができました。セッションを削除する際に、そのセッションがユーザーに属しているかどうかが適切に確認されていませんでした。これらのセッションオブジェクトを識別するために使用されるIDは増分整数であるため、ユーザーは`DELETE /my/sessions/:id`リクエストを繰り返し実行して、他のユーザーの認証を解除することが可能でした。ユーザーはセッション内に保存されている他のユーザーの機密情報（ブラウザ識別子、IPアドレス等）にアクセスできませんでした。この問題はOpenProjectのバージョン16.6.5および17.0.1で修正されました。権限や一時的に無効化可能な他の要素を必要としないので、既知の回避策はありません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。