5Ud0Er

OpenPanel fails to enforce read-only project access level on 26 of 29 mutating procedures, allowing read-level members to modify, delete, and publish project data. Attackers with explicit read-only access can delete reports and dashboards, schedule entire projects for deletion, publish private analytics to public share links, and modify alerting rules by exploiting missing access level validation in mutation resolvers.

OpenPanel is an analytics platform. In all versions (no patched release available at time of publication), the data importer fetches a caller-supplied URL with plain fetch instead of the project's existing SSRF guard (apps/api/src/utils/safe-fetch.ts). In packages/importer/src/providers/umami.ts, parseRemoteFile calls fetch() on config.fileUrl, which is validated only by z.string().url(), so values such as http://127.0.0.1:9911/ or http://169.254.169.254/latest/meta-data/ are accepted; the shared createFileImportConfig factory gives the plausible provider the same field. An authenticated organization member — including a default 'member' with no project access rows, for whom the intended access-level check is skipped because getProjectAccess returns boolean true rather than a level object — can therefore make the server connect to any address reachable from it. The resulting HTTP status and status text are persisted as Import.errorMessage and returned by import.get to the same user, providing a scanning oracle for internal hosts, ports and paths; if an internal response parses as Umami CSV, its rows are ingested as events and become readable in the attacker's analytics views.

OpenPanel share lookup procedures fail to validate access controls and return password hashes and protected report definitions to unauthenticated callers. Attackers with a share link can retrieve argon2id password hashes and full report configurations including event names, filters, and breakdown dimensions for offline password cracking and business intelligence theft.

**Nome do Software Vulnerável e Versões Afetadas** Trilium versões anteriores a 0.104.0 **Descrição** O endpoint de pesquisa de compartilhamento público não aplica os controles `shareCredentials` e `shareHiddenFromTree`. O endpoint autoriza apenas a nota ancestral fornecida na requisição e realiza uma pesquisa de texto completo em toda a subárvore publicada, retornando o título, o identificador de compartilhamento e o caminho hierárquico das notas correspondentes sem verificar se a nota individual requer senha ou está oculta. Um visitante não autenticado pode usar este endpoint como um oráculo booleano—um sistema que fornece uma resposta sim/não a uma consulta—para confirmar substrings arbitrárias e recuperar o conteúdo completo de notas compartilhadas e protegidas. **Recomendações** Atualize para a versão 0.104.0.

**Nome do Software Vulnerável e Versões Afetadas** Weblate versões anteriores a 2026.7 **Descrição** Um usuário autenticado com acesso ao projeto pode recuperar o histórico de alterações de componentes restritos por meio de endpoints de alteração de API aninhados. Isso ocorre porque esses endpoints aninhados não aplicam as verificações de acesso ao nível de componente exigidas para as visualizações diretas de componentes, permitindo a enumeração de alterações de componentes que deveriam estar ocultos. Os dados expostos podem incluir a identidade do componente restrito, links de tradução e unidade, e campos de carga de alteração, como o conteúdo da string de origem ou traduzida nos valores `target`, `old` e `details`. **Recomendações** Atualizar para a versão 2026.7.

**Nome do Software Vulnerável e Versões Afetadas** Astro versões anteriores a 6.4.6 **Description** Aplicações Astro SSR que utilizam páginas de erro pré-renderizadas, como '/404' ou '/500' com `export const prerender = true`, buscam essas páginas via HTTP em tempo de execução quando ocorre um erro. A URL da busca é derivada de `request.url`, que obtém sua origem do cabeçalho `Host` recebido. Quando o cabeçalho `Host` não é validado contra `allowedDomains`, um invasor pode direcionar a busca para um host arbitrário e ler a resposta. Isso ocorre especificamente em implantações SSR que utilizam `createRequestFromNodeRequest` de `astro/app/node` com `app.render()` sem a sobreposição de `prerenderedErrorPageFetch`. **Recommendations** Atualize para a versão 6.4.6 ou posterior.