PT-2026-125519
CVE-2026-116813
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenPanel الإصدارات السابقة لـ 3.0.0
Description
توجد مشكلة في دالة
getConversion() ضمن ConversionService، حيث تسمح أسماء الأحداث والتواريخ غير المفلترة بحقن استعلامات ClickHouse SQL. يمكن للمستخدمين الذين لديهم صلاحيات قراءة المشروع أو حاملي روابط المشاركة التلاعب بالسلاسل النصية في أسماء السلاسل أو متغيرات startDate و endDate. ومن خلال استخدام تقنيات مثل OR 1=1، يمكن للمهاجم تجاوز نطاق project id للوصول إلى البيانات التحليلية الخاصة بمستأجرين آخرين.Recommendations
التحديث إلى الإصدار 3.0.0 أو إصدار أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى دالة
getConversion() للمستخدمين الذين لديهم صلاحيات قراءة المشروع أو الوصول عبر روابط المشاركة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾