高 8.8

OpenPanelの脆弱性、未認証のSQLインジェクションで他社データが読まれるおそれ

CVE-2026-116818 SecPulse初出 8:05

概要

OpenPanelの3.0.0より前のバージョンに、認証なしでSQLを注入される脆弱性が見つかりました。/live/visitors のWebSocketで、projectIdパラメーターを通じて別の利用者のイベントやプロフィールを読み取られるおそれがあります。修正版の3.0.0以降へ更新してください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Openpanel-dev	openpanel	3.0.0 未満	3.0.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

OpenPanel before 3.0.0 contains an unauthenticated ClickHouse sql injection vulnerability that allows remote attackers to inject SQL through the projectId parameter of the /live/visitors/:projectId WebSocket, which lacks session and project-access checks. Attackers can use UNION or boolean count oracles to read other tenants' events and profiles, and project members can similarly inject via the cohort.preview timeframe values.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory