OpenPanelの脆弱性で読み取り権限のメンバーに連携用の認証情報が漏えいのおそれ
Summary
OpenPanelの3.0.0より前のバージョンに、読み取り権限しか持たないプロジェクトメンバーが連携機能の認証情報を取得できる脆弱性が見つかりました。SlackのボットトークンやWebhookのURL、認証ヘッダーが平文で取り出され、外部サービスへの不正利用につながるおそれがあります。修正版として3.0.0が公開されているため、3.0.0以降へのアップデートを進めてください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
OpenPanelの3.0.0より前のバージョンに、読み取り権限しか持たないプロジェクトメンバーが連携機能の認証情報を取得できる脆弱性が見つかりました。SlackのボットトークンやWebhookのURL、認証ヘッダーが平文で取り出され、外部サービスへの不正利用につながるおそれがあります。修正版として3.0.0が公開されているため、3.0.0以降へのアップデートを進めてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Openpanel-dev | openpanel |
< 3.0.0 |
3.0.0 |
Original description The description as published by the source.
OpenPanel before 3.0.0 contains an information disclosure vulnerability that allows read-level project members to obtain plaintext integration secrets because the notification.rules query skips redactIntegration. Attackers can call the notification.rules tRPC query to retrieve Slack bot tokens, webhook URLs, and authorization headers for use against external systems.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com