CVE-2026-116809

OpenPanel w wersji przed 3.0.0 zawiera podatność na ujawnienie informacji, która pozwala członkom projektu z uprawnieniami tylko do odczytu uzyskać jawne sekrety integracji, ponieważ zapytanie notification.rules pomija redakcję (redactIntegration). Atakujący mogą wywołać zapytanie tRPC notification.rules, aby pobrać tokeny botów Slack, adresy URL webhooków i nagłówki autoryzacji do wykorzystania przeciwko systemom zewnętrznym.

OpenPanel w wersji przed 3.0.0 zawiera nieuwierzytelnioną podatność na wstrzyknięcie SQL w ClickHouse, która pozwala zdalnym atakującym wstrzyknąć SQL poprzez parametr projectId w WebSocket /live/visitors/:projectId, który nie ma sprawdzania sesji ani dostępu do projektu. Atakujący mogą użyć UNION lub oracle'ów typu boolean count do odczytu zdarzeń i profili innych najemców, a członkowie projektu mogą podobnie wstrzykiwać poprzez wartości timeframe w cohort.preview.

OpenPanel przed wersją 3.0.0 zawiera podatność polegającą na braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do panelu Bull Board serwowanego na porcie HTTP workera. Atakujący mogą odpytywać /api/queues i wywoływać mutujące API Bull Board, aby dodawać, ponawiać lub czyścić zadania oraz odczytywać dane kolejek, metryki i stan magazynu danych.

OpenPanel przed wersją 3.0.0 zawiera podatność na nieprawidłowe escapowanie w sankey.service.ts, która pozwala uwierzytelnionym członkom projektu na łamanie literałów tekstowych ClickHouse poprzez podanie backslashy w nazwach zdarzeń. Atakujący z dostępem do odczytu mogą wysyłać spreparowane wartości events[].name do procedury chart.sankey, powodując błędy parsowania ClickHouse, które wyłączają endpoint wykresu Sankey projektu.

OpenPanel przed wersją 3.0.0 zawiera podatność na ujawnienie informacji, która zapisuje adresy URL połączeń z bazą danych i dane szablonów e-mail do logów standardowego wyjścia. Użytkownicy z dostępem do logów mogą uzyskać poświadczenia do bazy danych z logów startowych migracji oraz tokeny resetowania hasła rejestrowane, gdy SMTP_HOST i RESEND_API_KEY nie są ustawione.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL w ConversionService.getConversion, która pozwala członkom z dostępem do odczytu projektu oraz posiadaczom linków udostępniających na wstrzyknięcie SQL ClickHouse poprzez nieescapowane nazwy zdarzeń i daty. Atakujący mogą wyłamać się z literałów tekstowych w nazwach serii lub wartościach startDate/endDate za pomocą OR 1=1, aby zneutralizować ograniczenie project_id i odczytać dane analityczne innych dzierżawców.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL w profileColumnAccess w cohort.service.ts, która pozwala członkom z dostępem do odczytu projektu na wstrzyknięcie SQL poprzez podanie nieescapowanych nazw kolumn filtrów profilu. Atakujący mogą przesłać filtr cohort.preview, którego nazwa zawiera podzapytanie wstawione do klauzul argMax, cityHash64 lub porównania, aby odczytać dane ClickHouse innych dzierżawców.

OpenPanel w wersji przed 3.0.0 zawiera podatność na ucieczkę z piaskownicy w walidatorze js-runtime, która pozwala członkowi projektu obejść listę dozwolonych AST poprzez aliasowanie konstruktora Function. Atakujący z uprawnieniami zapisu może odczytać payload.constructor.constructor do zmiennej lokalnej i wywołać ją, aby uruchomić dowolny kod w procesie roboczym.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt adnotacji dowolnego projektu poprzez wywołanie publicznej procedury tRPC reference.getChartReferences. Atakujący mogą wysyłać żądania z odgadywalnymi identyfikatorami projektów opartymi na slugach, aby zrzucić tytuły, opisy i daty adnotacji między dzierżawcami, takie jak notatki o wydaniach i znaczniki wdrożeń.

OpenPanel w wersji przed 3.0.0 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom odczytać dane między dzierżawcami poprzez dostarczenie spreparowanego parametru property do profile.values. Atakujący mogą wstrzyknąć wyrażenie SELECT z własnymi klauzulami FROM/WHERE i zakomentować zakres project_id, aby wyeksfiltrować profile, zdarzenia i sesje innych projektów.