- Yama var
- Son 7 gün
- CWE-89
CVE-2026-116808
OpenPanel ClickHouse sorgularında SQL enjeksiyonu: profile.values üzerinden kiracılar arası veri sızıntısı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
OpenPanel 3.0.0 öncesi sürümler, profile.values alanına hazırlanmış bir property parametresi verilmesine izin veren bir SQL enjeksiyonu açığı içerir. Kimliği doğrulanmış kullanıcılar bu açık sayesinde kiracılar arası veriyi okuyabilir. Saldırganlar kendi FROM ve WHERE ifadelerini ekleyerek SELECT ifadesi enjekte edebilir ve project_id kapsamını yorum satırına alarak diğer projelerin profillerini, olaylarını ve oturumlarını dışarı sızdırabilir.
Kaynaktaki açıklama (İngilizce)
OpenPanel before 3.0.0 contains an sql injection vulnerability that allows authenticated users to read cross-tenant data by supplying a crafted property parameter to profile.values. Attackers can inject a SELECT expression with their own FROM/WHERE clauses and comment out the project_id scope to exfiltrate other projects' profiles, events, and sessions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Openpanel-dev openpanel | < 3.0.0 | 3.0.0 |
| 3.0.0 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.