CVE-2026-85708

Nome do Software Vulnerável e Versões Afetadas Chartbrew versões anteriores a 5.2.3

Descrição Tokens de compartilhamento e incorporação de gráficos são assinados usando a variável CB SECRET, que pode conter valores conhecidos ou padrão em certas instalações do Docker Compose. Isso permite que um invasor não autenticado que conheça o CB SECRET forje um token de assunto de gráfico para gráficos privados que tenham sido compartilhados pelo menos uma vez. O problema reside na verificação de tokens de compartilhamento de gráficos e nas rotas de acesso a filtros para gráficos privados, onde ids inteiros sequenciais são aceitos sem um link de compartilhamento legítimo. Consequentemente, um invasor pode enumerar esses ids para ler dados arbitrários de gráficos privados, como chartData. Os mecanismos de expiração e revogação de tokens são ineficazes se o segredo for comprometido.

Recomendações Atualizar para a versão 5.2.3.