中 7.1

OpenPanel 3.0.0未満にSQLインジェクションの脆弱性、他社の分析データが読まれるおそれ

CVE-2026-116813 SecPulse初出 8:05

概要

OpenPanelの3.0.0より前のバージョンには、ClickHouseへのSQLインジェクションの脆弱性（CVE-2026-116813）があります。プロジェクトの読み取り権限を持つメンバーや共有リンクの保持者が、イベント名や日付の入力を通じて検索条件を書き換え、ほかの利用者の分析データを読み取れるおそれがあります。修正版として3.0.0が公開されているため、3.0.0以降へ更新してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Openpanel-dev	openpanel	3.0.0 未満	3.0.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

OpenPanel before 3.0.0 contains an sql injection vulnerability in ConversionService.getConversion that allows project-read members and share-link holders to inject ClickHouse SQL through unescaped event names and dates. Attackers can break out of string literals in series names or startDate/endDate values with OR 1=1 to neutralize project_id scoping and read other tenants' analytics data.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory