Openpanel Dev

Vulnerabilities related to Openpanel Dev 14

• High 8.5 OpenPanelの脆弱性で読み取り権限のメンバーに連携用の認証情報が漏えいのおそれ OpenPanelの3.0.0より前のバージョンに、読み取り権限しか持たないプロジェクトメンバーが連携機能の認証情報を取得できる脆弱性が見つかりました。SlackのボットトークンやWebhookのURL、認証ヘッダーが平文で取り出され、外部サービスへの不正利用につながるおそれがあります。修正版として3.0.0が公開されているため、3.0.0以降へのアップデートを進めてください。 CVE-2026-116819 08:05
• High 8.8 OpenPanelの脆弱性、未認証のSQLインジェクションで他社データが読まれるおそれ OpenPanelの3.0.0より前のバージョンに、認証なしでSQLを注入される脆弱性が見つかりました。/live/visitors のWebSocketで、projectIdパラメーターを通じて別の利用者のイベントやプロフィールを読み取られるおそれがあります。修正版の3.0.0以降へ更新してください。 CVE-2026-116818 08:05
• Medium 6.9 OpenPanel before 3.0.0 contains a missing authentication vulnerability that allows... CVE-2026-116817 08:05
• Medium 5.3 OpenPanel before 3.0.0 contains an improper escaping vulnerability in sankey.service.ts that... CVE-2026-116815 08:05
• Medium 7.1 OpenPanelの脆弱性で、ログからデータベース認証情報が漏えいするおそれ OpenPanelの3.0.0より前のバージョンでは、データベース接続URLやメールテンプレートのデータが標準出力のログに書き出されます。ログを閲覧できる利用者は、移行時の起動ログからデータベースの認証情報を、パスワード再設定トークンを入手できるおそれがあります。修正版の3.0.0に更新してください。 CVE-2026-116814 08:05
• Medium 7.1 OpenPanel 3.0.0未満にSQLインジェクションの脆弱性、他社の分析データが読まれるおそれ OpenPanelの3.0.0より前のバージョンには、ClickHouseへのSQLインジェクションの脆弱性（CVE-2026-116813）があります。プロジェクトの読み取り権限を持つメンバーや共有リンクの保持者が、イベント名や日付の入力を通じて検索条件を書き換え、ほかの利用者の分析データを読み取れるおそれがあります。修正版として3.0.0が公開されているため、3.0.0以降へ更新してください。 CVE-2026-116813 08:05
• Medium 7.1 OpenPanelの脆弱性、他社のClickHouseデータを読まれるおそれ OpenPanelの3.0.0より前のバージョンには、SQLインジェクションの脆弱性があります。プロジェクトの読み取り権限を持つメンバーが、cohort.previewのフィルター名に細工したSQLを入れると、ほかのテナントのClickHouseデータが読まれるおそれがあります。CVSSv3は6.5、CVSSv4は7.1です。3.0.0以降の修正版への更新が必要です。 CVE-2026-116812 08:05
• High 8.8 OpenPanelにサンドボックス回避の脆弱性、任意のコードを実行されるおそれ OpenPanelの3.0.0より前のバージョンには、js-runtimeの検証機能の不備によりサンドボックスを回避される脆弱性があります。プロジェクトへの書き込み権限を持つ利用者が、ワーカープロセス上で任意のコードを実行できるおそれがあります。修正版の3.0.0で対処されているため、3.0.0以降へ更新してください。 CVE-2026-116811 08:05
• Medium 6.9 OpenPanel before 3.0.0 contains a missing authorization vulnerability that allows unauthenticated... CVE-2026-116810 08:05
• Medium 6.9 OpenPanel before 3.0.0 contains a missing authorization vulnerability in the event.bots tRPC... CVE-2026-116809 08:05
• High 8.6 OpenPanelに認証済みユーザーが他テナントのデータを読み取れる脆弱性 OpenPanelの3.0.0より前のバージョンには、SQLインジェクションの脆弱性があります。ログイン済みのユーザーが、profile.valuesに細工したパラメーターを送ることで、ほかのプロジェクトのプロファイル、イベント、セッションの情報を読み取れるおそれがあります。修正版の3.0.0以降へ更新してください。 CVE-2026-116808 08:05
• Medium 7.0 OpenPanelに認証済みユーザーが他プロジェクトのイベントを閲覧できる脆弱性 OpenPanelの3.0.0より前のバージョンに、SQLインジェクションの脆弱性が見つかりました。ログイン済みのユーザーが細工したフィルター名を使うと、テナントの絞り込みを回避し、ほかのプロジェクトのイベントを読み取られるおそれがあります。影響を受けるのは3.0.0より前の版で、3.0.0で修正されています。3.0.0以降へ更新してください。 CVE-2026-116807 08:05
• Medium 5.4 OpenPanel before 3.0.0 contains a missing authorization vulnerability in the onboarding.project... CVE-2026-116806 08:05
• Medium 5.3 OpenPanel before 3.0.0 contains an information disclosure vulnerability that allows read-level... CVE-2026-116805 08:05