OpenProjectはオープンソースのWebベースのプロジェクト管理ソフトウェアです。OpenProjectのバージョン11.2.1から16.6.2未満において、/account/change_passwordエンドポイントに任意のユーザーIDをpassword_change_user_idパラメータとして含むPOSTリクエストを送信すると、エラーページに要求されたユーザーのユーザー名が表示されてしまいます。このエンドポイントは認証なしで呼び出されることを想定しているため、これによりOpenProjectインスタンスに登録されたすべてのアカウントのユーザー名を列挙できます。この問題はバージョン16.6.2で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。