CVE-2026-88890

Nome do Software Vulnerável e Versões Afetadas OpenPanel versões anteriores ao commit cd24bb8

Description Um problema de injeção de SQL existe no construtor de filtros de análise devido à validação insuficiente dos identificadores de coluna do filtro profile.* antes de serem interpolados em cláusulas WHERE do ClickHouse. Um invasor autenticado com credenciais de leitura de escopo de projeto ou de exportação de root pode executar SQL arbitrário do ClickHouse. Isso permite que o invasor ignore o isolamento do projeto e acesse dados de análise e PII (Informações de Identificação Pessoal) de perfil de outras organizações usando técnicas de oráculo booleano cego, um método de extração de dados fazendo perguntas de verdadeiro/falso ao banco de dados com base na resposta da aplicação.

Recommendations Atualize o OpenPanel para uma versão que inclua o commit cd24bb8 ou posterior.