OpenPanelの脆弱性、未認証のSQLインジェクションで他社データが読まれるおそれ
Summary
OpenPanelの3.0.0より前のバージョンに、認証なしでSQLを注入される脆弱性が見つかりました。/live/visitors のWebSocketで、projectIdパラメーターを通じて別の利用者のイベントやプロフィールを読み取られるおそれがあります。修正版の3.0.0以降へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
OpenPanelの3.0.0より前のバージョンに、認証なしでSQLを注入される脆弱性が見つかりました。/live/visitors のWebSocketで、projectIdパラメーターを通じて別の利用者のイベントやプロフィールを読み取られるおそれがあります。修正版の3.0.0以降へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Openpanel-dev | openpanel |
< 3.0.0 |
3.0.0 |
Original description The description as published by the source.
OpenPanel before 3.0.0 contains an unauthenticated ClickHouse sql injection vulnerability that allows remote attackers to inject SQL through the projectId parameter of the /live/visitors/:projectId WebSocket, which lacks session and project-access checks. Attackers can use UNION or boolean count oracles to read other tenants' events and profiles, and project members can similarly inject via the cohort.preview timeframe values.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com