Podatności OpenPanel

OpenPanel w wersji przed 3.0.0 zawiera podatność na ujawnienie informacji, która pozwala członkom projektu z uprawnieniami tylko do odczytu uzyskać jawne sekrety integracji, ponieważ zapytanie notification.rules pomija redakcję (redactIntegration). Atakujący mogą wywołać zapytanie tRPC notification.rules, aby pobrać tokeny botów Slack, adresy URL webhooków i nagłówki autoryzacji do wykorzystania przeciwko systemom zewnętrznym.

OpenPanel w wersji przed 3.0.0 zawiera nieuwierzytelnioną podatność na wstrzyknięcie SQL w ClickHouse, która pozwala zdalnym atakującym wstrzyknąć SQL poprzez parametr projectId w WebSocket /live/visitors/:projectId, który nie ma sprawdzania sesji ani dostępu do projektu. Atakujący mogą użyć UNION lub oracle'ów typu boolean count do odczytu zdarzeń i profili innych najemców, a członkowie projektu mogą podobnie wstrzykiwać poprzez wartości timeframe w cohort.preview.

OpenPanel przed wersją 3.0.0 zawiera podatność polegającą na braku uwierzytelniania, która pozwala nieuwierzytelnionym atakującym na dostęp do panelu Bull Board serwowanego na porcie HTTP workera. Atakujący mogą odpytywać /api/queues i wywoływać mutujące API Bull Board, aby dodawać, ponawiać lub czyścić zadania oraz odczytywać dane kolejek, metryki i stan magazynu danych.

OpenPanel przed wersją 3.0.0 zawiera podatność na nieprawidłowe escapowanie w sankey.service.ts, która pozwala uwierzytelnionym członkom projektu na łamanie literałów tekstowych ClickHouse poprzez podanie backslashy w nazwach zdarzeń. Atakujący z dostępem do odczytu mogą wysyłać spreparowane wartości events[].name do procedury chart.sankey, powodując błędy parsowania ClickHouse, które wyłączają endpoint wykresu Sankey projektu.

OpenPanel przed wersją 3.0.0 zawiera podatność na ujawnienie informacji, która zapisuje adresy URL połączeń z bazą danych i dane szablonów e-mail do logów standardowego wyjścia. Użytkownicy z dostępem do logów mogą uzyskać poświadczenia do bazy danych z logów startowych migracji oraz tokeny resetowania hasła rejestrowane, gdy SMTP_HOST i RESEND_API_KEY nie są ustawione.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL w ConversionService.getConversion, która pozwala członkom z dostępem do odczytu projektu oraz posiadaczom linków udostępniających na wstrzyknięcie SQL ClickHouse poprzez nieescapowane nazwy zdarzeń i daty. Atakujący mogą wyłamać się z literałów tekstowych w nazwach serii lub wartościach startDate/endDate za pomocą OR 1=1, aby zneutralizować ograniczenie project_id i odczytać dane analityczne innych dzierżawców.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL w profileColumnAccess w cohort.service.ts, która pozwala członkom z dostępem do odczytu projektu na wstrzyknięcie SQL poprzez podanie nieescapowanych nazw kolumn filtrów profilu. Atakujący mogą przesłać filtr cohort.preview, którego nazwa zawiera podzapytanie wstawione do klauzul argMax, cityHash64 lub porównania, aby odczytać dane ClickHouse innych dzierżawców.

OpenPanel w wersji przed 3.0.0 zawiera podatność na ucieczkę z piaskownicy w walidatorze js-runtime, która pozwala członkowi projektu obejść listę dozwolonych AST poprzez aliasowanie konstruktora Function. Atakujący z uprawnieniami zapisu może odczytać payload.constructor.constructor do zmiennej lokalnej i wywołać ją, aby uruchomić dowolny kod w procesie roboczym.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji, która pozwala nieuwierzytelnionym atakującym na odczyt adnotacji dowolnego projektu poprzez wywołanie publicznej procedury tRPC reference.getChartReferences. Atakujący mogą wysyłać żądania z odgadywalnymi identyfikatorami projektów opartymi na slugach, aby zrzucić tytuły, opisy i daty adnotacji między dzierżawcami, takie jak notatki o wydaniach i znaczniki wdrożeń.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji w procedurze tRPC event.bots, która pozwala nieuwierzytelnionym atakującym na odczyt zdarzeń botów poprzez sprawdzenie jedynie istnienia wiersza shareOverview. Atakujący mogą wysyłać anonimowe żądania z projectId, aby uzyskać nazwy, typy i ścieżki zdarzeń botów dla prywatnych lub chronionych hasłem projektów, ujawniając wewnętrzne trasy.

OpenPanel w wersji przed 3.0.0 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom odczytać dane między dzierżawcami poprzez dostarczenie spreparowanego parametru property do profile.values. Atakujący mogą wstrzyknąć wyrażenie SELECT z własnymi klauzulami FROM/WHERE i zakomentować zakres project_id, aby wyeksfiltrować profile, zdarzenia i sesje innych projektów.

OpenPanel przed wersją 3.0.0 zawiera podatność na wstrzyknięcie SQL, która pozwala uwierzytelnionym użytkownikom na obejście ograniczeń dzierżawcy poprzez wstrzyknięcie nieescapowanych nazw filtrów profilu do podzapytania JOIN. Atakujący mogą podać spreparowaną nazwę filtra z komentarzem na końcu, aby obejść klauzulę WHERE project_id i odczytać zdarzenia ze wszystkich projektów.

OpenPanel przed wersją 3.0.0 zawiera podatność na brak autoryzacji w mutacji tRPC onboarding.project, która pozwala członkom organizacji niebędącym administratorami na tworzenie projektów i generowanie poświadczeń do wstrzykiwania danych typu write, omijając politykę tylko dla administratorów. Atakujący mogą wielokrotnie wywoływać endpoint z sesją członka, aby uzyskać sekrety w postaci jawnej, wstrzykiwać fałszywe zdarzenia analityczne, zatruwać metryki biznesowe i zużywać budżet organizacji.

OpenPanel przed wersją 3.0.0 zawiera podatność na ujawnienie informacji, która pozwala członkom projektu z poziomem odczytu na uzyskanie hashy argon2id poświadczeń do wstrzykiwania danych poprzez zapytanie tRPC client.list. Atakujący mogą zażądać client.list z identyfikatorem projektu i otrzymać pełne wiersze Client, w tym kolumnę secret, co umożliwia offline weryfikację ujawnionych sekretów bez śladów audytu.

OpenPanel do wersji 2.3.0 zawiera podatność na wstrzyknięcie formuł CSV, która pozwala nieuwierzytelnionym atakującym na osadzenie formuł arkusza kalkulacyjnego poprzez podanie spreparowanych identyfikatorów profili do punktu /track. Atakujący mogą wysyłać zdarzenia śledzenia z identyfikatorami profili, takimi jak =HYPERLINK(...), pasującymi do kohorty, więc eksportowane pliki CSV kohorty wykonują formuły, które eksfiltrują dane z sąsiednich komórek.

OpenPanel API do wersji 2.3.0 nie weryfikuje kryptograficznego skrótu sekretu klienta przed autoryzacją zdarzeń przychodów i filtrowania botów. Atakujący z publicznym ID klienta może podać dowolny fałszywy sekret, aby wstrzyknąć sfałszowane metryki przychodów i ominąć filtry antybotowe.

OpenPanel do wersji 2.3.0 nie escapuje kluczy właściwości w zapytaniach SQL do ClickHouse, co pozwala uwierzytelnionym użytkownikom na wstrzykiwanie logicznych warunków SQL. Atakujący może podać spreparowane nazwy filtrów, aby ominąć izolację projektów i uzyskać dostęp do metryk innych projektów.

OpenPanel do wersji 2.3.0 zapisuje tokeny uwierzytelniające Model Context Protocol z parametrów zapytania URL do zwykłych logów aplikacji bez maskowania. Atakujący z dostępem do standardowego wyjścia aplikacji lub scentralizowanych systemów logowania mogą przechwycić zakodowane w base64 poświadczenia, aby odtworzyć żądania MCP i uzyskać dostęp do analityki projektu.

OpenPanel do wersji 2.3.0 w procedurach udostępniania nie waliduje kontroli dostępu, co pozwala nieuwierzytelnionym użytkownikom z linkiem do udostępniania pobierać hashe haseł argon2id oraz pełne konfiguracje raportów, w tym nazwy zdarzeń, filtry i wymiary analityczne.

W OpenPanel do wersji 2.3.0 importer danych pobiera adres URL dostarczony przez wywołującego za pomocą zwykłego fetch, zamiast używać istniejącej ochrony SSRF. Uwierzytelniony członek organizacji może sprawić, że serwer połączy się z dowolnym adresem, a wyniki HTTP będą widoczne jako błąd importu, co umożliwia skanowanie wewnętrznych hostów, portów i ścieżek.

OpenPanel do wersji 2.3.0 nie egzekwuje poziomu dostępu tylko do odczytu w 26 z 29 procedur modyfikujących, co pozwala użytkownikom z uprawnieniami tylko do odczytu na modyfikowanie, usuwanie i publikowanie danych projektu. Mogą oni usuwać raporty i pulpity, planować usunięcie całych projektów, publikować prywatne analizy jako publiczne linki oraz modyfikować reguły alertów.

OpenPanel do wersji 2.3.0 zawiera podatność na wstrzyknięcie SQL w konstruktorze filtrów analitycznych, która nie waliduje identyfikatorów kolumn profile.* przed interpolacją do klauzul WHERE w ClickHouse. Uwierzytelniony atakujący z uprawnieniami odczytu projektu lub root może wstrzyknąć dowolny SQL, omijając izolację projektów i odczytywać dane analityczne oraz PII innych organizacji.

OpenPanel przed wersją 2.3.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w procedurach tRPC report.getLayouts i report.resetLayout, które nie wiążą dashboardId z autoryzowanym projectId. Uwierzytelnieni atakujący mogą podać dowolny dashboardId ofiary z własnym projectId, aby odczytać układy raportów i konfiguracje lub usunąć układy dashboardów między dzierżawcami.

OpenPanel przed wersją 2.3.0 zawiera podatność nieuwierzytelnionego ataku SSRF w punkcie końcowym GET /tools/site-checker. Parametr URL jest w pełni kontrolowany przez klienta i nie ma filtrowania adresów prywatnych ani ochrony przed DNS-rebinding.

OpenPanel przed wersją 2.3.0 zawiera podatność na cross-site scripting w nieuwierzytelnionym punkcie końcowym proxy favicon GET /misc/favicon, która umożliwia zdalnym atakującym wykonanie skryptów poprzez dostarczenie adresu URL pliku SVG. Atakujący mogą hostować złośliwe pliki SVG z osadzonymi skryptami, które wykonują się w przeglądarce ofiary na pochodzeniu API, umożliwiając uwierzytelnione żądania do chronionych punktów końcowych.

OpenPanel przed wersją 2.3.0 zawiera nieuwierzytelnioną podatność na podrabianie żądań po stronie serwera (SSRF) w punktach końcowych /misc/favicon i /misc/og, które akceptują parametr url dostarczony przez atakującego z niewystarczającą walidacją. Atakujący mogą zmusić API do pobierania dowolnych wewnętrznych hostów i punktów końcowych metadanych chmury, a małe odpowiedzi są zwracane w niezmienionej formie, umożliwiając kradzież poświadczeń i enumerację wewnętrznych usług.

OpenPanel przed wersją 2.3.0 zawiera podatność na złamanie autoryzacji na poziomie obiektów między dzierżawcami w procedurach tRPC report.getLayouts i report.resetLayout, które nie ograniczają zapytań dashboardów do projektu wywołującego. Uwierzytelnieni atakujący mogą podać własny projectId z odgadnionym dashboardId ofiary, aby odczytać poufne definicje raportów lub trwale usunąć układy dashboardów między dzierżawcami.

OpenPanel przed wersją 2.3.0 nieprawidłowo waliduje wyrażenia formuł wykresów, co pozwala uwierzytelnionym członkom projektu z prawem odczytu na wykonanie dowolnego kodu poprzez odzyskanie natywnego konstruktora funkcji JavaScript przez obiekty macierzy mathjs. Atakujący mogą użyć odzyskanego konstruktora do załadowania wbudowanych modułów Node.js i wykonania poleceń systemu operacyjnego z uprawnieniami procesu API, omijając granice autoryzacji organizacji.

OpenPanel przed wersją 2.3.0 zawiera nieuwierzytelnioną podatność na pełny odczyt SSRF w punkcie końcowym GET /tools/site-checker, który przekazuje parametr url dostarczony przez użytkownika do funkcji fetchWithRedirects() bez żadnej walidacji SSRF/IP. Zdalny atakujący może uzyskać dostęp do punktów końcowych metadanych instancji chmury, skanować wewnętrzne usługi i porty oraz odczytywać zwracaną treść, a także ujawniać wewnętrzne adresy IP.