CVE-2026-88892

Nome do Software Vulnerável e Versões Afetadas OpenPanel versões anteriores a 2.3.1

Description O importador de dados falha ao não utilizar a proteção contra SSRF do projeto, utilizando em vez disso um mecanismo de fetch simples para recuperar URLs fornecidas pelo usuário. Na função parseRemoteFile() em packages/importer/src/providers/umami.ts, a variável config.fileUrl é validada apenas como uma string de URL, permitindo requisições para endereços internos como http://127.0.0.1:9911/ ou http://169.254.169.254/latest/meta-data/. Um membro autenticado da organização pode explorar isso para forçar o servidor a se conectar a qualquer endereço alcançável. O servidor então retorna o status HTTP e o texto do status via import.get, criando um oráculo de varredura para hosts, portas e caminhos internos. Além disso, se uma resposta interna estiver formatada como um CSV do Umami, os dados são ingeridos como eventos e tornam-se visíveis nas visualizações de análise do invasor. SSRF (Server-Side Request Forgery) é uma falha onde um invasor força um servidor a fazer requisições para um local não pretendido.

Recommendations Atualize o OpenPanel para uma versão posterior a 2.3.0. Como medida paliativa temporária, restrinja o uso do parâmetro config.fileUrl no importador de dados para evitar requisições a endereços de rede interna.