- Yama var
- Son 7 gün
- CWE-89
CVE-2026-116807
OpenPanel'de ClickHouse sorgusunda SQL enjeksiyonu, kiracı izolasyonunun aşılmasına yol açıyor
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
OpenPanel'in 3.0.0 öncesi sürümleri, kimliği doğrulanmış kullanıcıların profil filtresi adlarını kaçışlanmadan bir JOIN alt sorgusuna enjekte ederek kiracı kapsamını atlamasına izin veren bir SQL enjeksiyonu güvenlik açığı içerir. Saldırganlar, sonuna yorum eklenmiş özel hazırlanmış bir filtre adı göndererek project_id WHERE koşulunu atlayabilir ve tüm projelerdeki olayları okuyabilir.
Kaynaktaki açıklama (İngilizce)
OpenPanel before 3.0.0 contains an sql injection vulnerability that allows authenticated users to bypass tenant scoping by injecting unescaped profile filter names into a JOIN subquery. Attackers can supply a crafted filter name with a trailing comment to bypass the project_id WHERE clause and read events from all projects.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Openpanel-dev openpanel | < 3.0.0 | 3.0.0 |
| 3.0.0 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.