Captboykin

**Nome do Software Vulnerável e Versões Afetadas** OpenPanel versões anteriores ao commit bad75bdd **Descrição** O software grava tokens de autenticação do Model Context Protocol (MCP), passados via parâmetros de consulta de URL, em logs de aplicação em texto simples sem redação. Isso permite que atacantes com acesso ao stdout da aplicação ou a sistemas de log centralizados capturem credenciais codificadas em base64. Essas credenciais capturadas podem ser usadas para repetir requisições MCP e obter acesso não autorizado a análises de projetos. **Recomendações** Atualize o OpenPanel para uma versão que incorpore o commit bad75bdd ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** OpenPanel versões anteriores ao commit bad75bdd **Descrição** Usuários autenticados podem injetar termos SQL booleanos porque o software falha ao escapar chaves de propriedade em consultas SQL do ClickHouse. Ao fornecer nomes de filtro manipulados, invasores podem ignorar o isolamento de projetos e acessar métricas de outros projetos. **Recomendações** Atualize o OpenPanel para uma versão que inclua o commit bad75bdd ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** OpenPanel versões anteriores ao commit bad75bddc74d12d36cfb843f4531d3b830a8d994 **Description** A API de rastreamento falha ao verificar o hash criptográfico do segredo do cliente antes de autorizar eventos de receita e filtragem de bots. Um invasor que possua apenas um ID de cliente público pode fornecer segredos fictícios arbitrários para ignorar os filtros de detecção de bots e injetar métricas de receita forjadas. **Recommendations** Atualize o OpenPanel para uma versão que inclua o commit bad75bddc74d12d36cfb843f4531d3b830a8d994.

**Nome do Software Vulnerável e Versões Afetadas** OpenPanel js-runtime versões anteriores ao commit bad75bdd **Description** Existe um escape de sandbox no validador de templates de webhook em JavaScript. O validador não bloqueia o acesso a membros computados em cadeias de construtores, permitindo que usuários com acesso de escrita no projeto ignorem as restrições. Ao utilizar a notação de propriedade computada em vez da notação direta por ponto, um invasor pode acessar o construtor `Function` e executar código arbitrário no processo do worker. **Recommendations** Atualize para uma versão posterior ao commit bad75bdd. Restrinja as permissões de usuários que podem criar ou editar templates de webhook.