- Yama var
- Son 7 gün
- CWE-89
CVE-2026-116818
OpenPanel'de Kimlik Doğrulamasız ClickHouse SQL Enjeksiyonu Açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
3.0.0 öncesi OpenPanel, kimlik doğrulaması gerektirmeyen bir ClickHouse SQL enjeksiyonu açığı içermektedir. Bu açık, uzaktan saldırganların /live/visitors/:projectId WebSocket'inin projectId parametresi üzerinden SQL enjekte etmesine olanak tanır; bu WebSocket oturum ve proje erişim denetimlerinden yoksundur. Saldırganlar UNION veya boolean sayım oracle'ları kullanarak diğer kiracıların olaylarını ve profillerini okuyabilir. Proje üyeleri de benzer şekilde cohort.preview zaman aralığı değerleri üzerinden enjeksiyon yapabilir.
Kaynaktaki açıklama (İngilizce)
OpenPanel before 3.0.0 contains an unauthenticated ClickHouse sql injection vulnerability that allows remote attackers to inject SQL through the projectId parameter of the /live/visitors/:projectId WebSocket, which lacks session and project-access checks. Attackers can use UNION or boolean count oracles to read other tenants' events and profiles, and project members can similarly inject via the cohort.preview timeframe values.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Openpanel-dev openpanel | < 3.0.0 | 3.0.0 |
| 3.0.0 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.