OpenPanel 3.0.0未満にSQLインジェクションの脆弱性、他社の分析データが読まれるおそれ
Summary
OpenPanelの3.0.0より前のバージョンには、ClickHouseへのSQLインジェクションの脆弱性（CVE-2026-116813）があります。プロジェクトの読み取り権限を持つメンバーや共有リンクの保持者が、イベント名や日付の入力を通じて検索条件を書き換え、ほかの利用者の分析データを読み取れるおそれがあります。修正版として3.0.0が公開されているため、3.0.0以降へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
OpenPanelの3.0.0より前のバージョンには、ClickHouseへのSQLインジェクションの脆弱性（CVE-2026-116813）があります。プロジェクトの読み取り権限を持つメンバーや共有リンクの保持者が、イベント名や日付の入力を通じて検索条件を書き換え、ほかの利用者の分析データを読み取れるおそれがあります。修正版として3.0.0が公開されているため、3.0.0以降へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Openpanel-dev | openpanel |
< 3.0.0 |
3.0.0 |
Original description The description as published by the source.
OpenPanel before 3.0.0 contains an sql injection vulnerability in ConversionService.getConversion that allows project-read members and share-link holders to inject ClickHouse SQL through unescaped event names and dates. Attackers can break out of string literals in series names or startDate/endDate values with OR 1=1 to neutralize project_id scoping and read other tenants' analytics data.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com