中 7.0

OpenPanelに認証済みユーザーが他プロジェクトのイベントを閲覧できる脆弱性

CVE-2026-116807 SecPulse初出 8:05

概要

OpenPanelの3.0.0より前のバージョンに、SQLインジェクションの脆弱性が見つかりました。ログイン済みのユーザーが細工したフィルター名を使うと、テナントの絞り込みを回避し、ほかのプロジェクトのイベントを読み取られるおそれがあります。影響を受けるのは3.0.0より前の版で、3.0.0で修正されています。3.0.0以降へ更新してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Openpanel-dev	openpanel	3.0.0 未満	3.0.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

OpenPanel before 3.0.0 contains an sql injection vulnerability that allows authenticated users to bypass tenant scoping by injecting unescaped profile filter names into a JOIN subquery. Attackers can supply a crafted filter name with a trailing comment to bypass the project_id WHERE clause and read events from all projects.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory