高 8.5

OpenPanelの脆弱性で読み取り権限のメンバーに連携用の認証情報が漏えいのおそれ

CVE-2026-116819 SecPulse初出 8:05

概要

OpenPanelの3.0.0より前のバージョンに、読み取り権限しか持たないプロジェクトメンバーが連携機能の認証情報を取得できる脆弱性が見つかりました。SlackのボットトークンやWebhookのURL、認証ヘッダーが平文で取り出され、外部サービスへの不正利用につながるおそれがあります。修正版として3.0.0が公開されているため、3.0.0以降へのアップデートを進めてください。

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
Openpanel-dev	openpanel	3.0.0 未満	3.0.0

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

OpenPanel before 3.0.0 contains an information disclosure vulnerability that allows read-level project members to obtain plaintext integration secrets because the notification.rules query skips redactIntegration. Attackers can call the notification.rules tRPC query to retrieve Slack bot tokens, webhook URLs, and authorization headers for use against external systems.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory