CVE-2026-116812

OpenPanel w wersji przed 3.0.0 zawiera podatność na ujawnienie informacji, która pozwala członkom projektu z uprawnieniami tylko do odczytu uzyskać jawne sekrety integracji, ponieważ zapytanie notification.rules pomija redakcję (redactIntegration). Atakujący mogą wywołać zapytanie tRPC notification.rules, aby pobrać tokeny botów Slack, adresy URL webhooków i nagłówki autoryzacji do wykorzystania przeciwko systemom zewnętrznym.

OpenPanel w wersji przed 3.0.0 zawiera nieuwierzytelnioną podatność na wstrzyknięcie SQL w ClickHouse, która pozwala zdalnym atakującym wstrzyknąć SQL poprzez parametr projectId w WebSocket /live/visitors/:projectId, który nie ma sprawdzania sesji ani dostępu do projektu. Atakujący mogą użyć UNION lub oracle'ów typu boolean count do odczytu zdarzeń i profili innych najemców, a członkowie projektu mogą podobnie wstrzykiwać poprzez wartości timeframe w cohort.preview.

OpenPanel przed wersją 3.0.0 zawiera podatność polegającą na braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do panelu Bull Board serwowanego na porcie HTTP workera. Atakujący mogą odpytywać /api/queues i wywoływać mutujące API Bull Board, aby dodawać, ponawiać lub czyścić zadania oraz odczytywać dane kolejek, metryki i stan magazynu danych.

OpenPanel przed wersją 3.0.0 zawiera podatność na nieprawidłowe escapowanie w sankey.service.ts, która pozwala uwierzytelnionym członkom projektu na łamanie literałów tekstowych ClickHouse poprzez podanie backslashy w nazwach zdarzeń. Atakujący z dostępem do odczytu mogą wysyłać spreparowane wartości events[].name do procedury chart.sankey, powodując błędy parsowania ClickHouse, które wyłączają endpoint wykresu Sankey projektu.

OpenPanel przed wersją 3.0.0 zawiera podatność na ujawnienie informacji, która zapisuje adresy URL połączeń z bazą danych i dane szablonów e-mail do logów standardowego wyjścia. Użytkownicy z dostępem do logów mogą uzyskać poświadczenia do bazy danych z logów startowych migracji oraz tokeny resetowania hasła rejestrowane, gdy SMTP_HOST i RESEND_API_KEY nie są ustawione.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL w ConversionService.getConversion, która pozwala członkom z dostępem do odczytu projektu oraz posiadaczom linków udostępniających na wstrzyknięcie SQL ClickHouse poprzez nieescapowane nazwy zdarzeń i daty. Atakujący mogą wyłamać się z literałów tekstowych w nazwach serii lub wartościach startDate/endDate za pomocą OR 1=1, aby zneutralizować ograniczenie project_id i odczytać dane analityczne innych dzierżawców.

OpenPanel w wersji przed 3.0.0 zawiera podatność na ucieczkę z piaskownicy w walidatorze js-runtime, która pozwala członkowi projektu obejść listę dozwolonych AST poprzez aliasowanie konstruktora Function. Atakujący z uprawnieniami zapisu może odczytać payload.constructor.constructor do zmiennej lokalnej i wywołać ją, aby uruchomić dowolny kod w procesie roboczym.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt adnotacji dowolnego projektu poprzez wywołanie publicznej procedury tRPC reference.getChartReferences. Atakujący mogą wysyłać żądania z odgadywalnymi identyfikatorami projektów opartymi na slugach, aby zrzucić tytuły, opisy i daty adnotacji między dzierżawcami, takie jak notatki o wydaniach i znaczniki wdrożeń.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji w procedurze tRPC event.bots, która pozwala nieuwierzytelnionym atakującym na odczyt zdarzeń botów poprzez sprawdzenie jedynie istnienia wiersza shareOverview. Atakujący mogą wysyłać anonimowe żądania z projectId, aby uzyskać nazwy, typy i ścieżki zdarzeń botów dla prywatnych lub chronionych hasłem projektów, ujawniając wewnętrzne trasy.

OpenPanel w wersji przed 3.0.0 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom odczytać dane między dzierżawcami poprzez dostarczenie spreparowanego parametru property do profile.values. Atakujący mogą wstrzyknąć wyrażenie SELECT z własnymi klauzulami FROM/WHERE i zakomentować zakres project_id, aby wyeksfiltrować profile, zdarzenia i sesje innych projektów.