CVE-2026-55881

Nome do Software Vulnerável e Versões Afetadas OpenReplay versões 1.22.0 through 1.26.x

Description Existe um problema onde a função getFirstMob() retorna URLs de download do S3 pré-assinadas de 15 segundos para a gravação de replay de DOM de uma sessão baseando-se apenas no parâmetro de caminho da sessão. A função validateProjectAccess() não verifica se a sessão pertence ao projeto, checando apenas se o projeto pertence ao locatário do solicitante. Isso permite que um usuário autenticado de baixo privilégio acesse os primeiros 15 segundos dos dados de gravação de replay de sessão de outro locatário.

Recommendations Atualizar para a versão 1.27.0.