CVE-2026-116813

Nome do Software Vulnerável e Versões Afetadas OpenPanel versões anteriores a 3.0.0

Description Existe um problema na função getConversion() do ConversionService, onde nomes de eventos e datas não escapados permitem a injeção de SQL do ClickHouse. Usuários com permissões de leitura de projeto ou detentores de links de compartilhamento podem manipular literais de string em nomes de séries ou nas variáveis startDate e endDate. Ao utilizar técnicas como OR 1=1, um invasor pode ignorar o escopo do project id para acessar dados analíticos de outros locatários.

Recommendations Atualize para a versão 3.0.0 ou posterior. Como mitigação temporária, restrinja o acesso à função getConversion() para usuários com permissões de leitura de projeto ou acesso via link de compartilhamento.