PT-2026-125523
CVE-2026-116818
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 4.0
8.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
OpenPanel الإصدارات السابقة لـ 3.0.0
Description
توجد ثغرة حقن SQL غير مصرح بها في تكامل قاعدة بيانات ClickHouse. يمكن للمهاجمين عن بُعد حقن استعلامات SQL عبر المعلمة
projectId في نقطة نهاية WebSocket /live/visitors/:projectId التي تفتقر إلى التحقق من الجلسة وصلاحيات الوصول إلى المشروع. يسمح هذا باستخدام UNION أو oracles العد البولياني لقراءة أحداث وملفات تعريف المستأجرين الآخرين. وبالمثل، يمكن لأعضاء المشروع القيام بعمليات حقن عبر قيم الإطار الزمني cohort.preview.Recommendations
التحديث إلى الإصدار 3.0.0 أو أحدث.
تقييد الوصول إلى نقطة نهاية WebSocket
/live/visitors/:projectId كإجراء تخفيف مؤقت.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾