CVE-2026-63445

Nome do Software Vulnerável e Versões Afetadas Perses versões anteriores a 0.54.0-rc.0

Description Ao utilizar o banco de dados de sistema de arquivos, os endpoints de listagem vinculam o parâmetro de consulta project controlado pela requisição à estrutura de recurso Query sem validá-lo contra caracteres de traversal de diretório. Isso permite que um invasor autenticado utilize segmentos de traversal de diretório para sair do diretório de projeto pretendido, ler arquivos YAML ou JSON arbitrários acessíveis ao processo e ignorar o isolamento de projetos para enumerar outros recursos baseados em arquivos. Um exemplo disso ocorre no endpoint /api/v1/dashboards quando o parâmetro project é manipulado.

Recommendations Atualize para a versão 0.54.0-rc.0 ou posterior. Evite usar o banco de dados de sistema de arquivos em produção e utilize um banco de dados SQL.