CVE-2026-45296 in OpenReplay
Zusammenfassung
von VulDB • 28.05.2026
OpenReplay ist eine Suite zur Aufzeichnung von Benutzersitzungen, die selbst gehostet wird. Vor Version 1.26.0 bietet die Python-API von OpenReplay mehrere app_apikey-Endpunkte an, die einem vom Aufrufer bereitgestellten projectKey vertrauen, nachdem lediglich überprüft wurde, dass der API-Schlüssel selbst gültig ist und das angegebene Projekt mit dem projectKey existiert. Der Autorisierungsfluss überprüft nicht, ob der authentifizierte API-Schlüssel und das angeforderte Projekt zum selben Mandanten (Tenant) gehören. Da das Design des öffentlichen Trackers projectKey für Code auf Browserseite zugänglich macht, kann ein Angreifer, der über einen gültigen API-Schlüssel für seinen eigenen Mandanten verfügt, ein Projekt eines anderen Mandanten angreifen, indem er diesen öffentlichen projectKey wiederverwendet. Die anfälligen Endpunkte ermöglichen es dem Angreifer, die Sitzungen der Opfer aufzulisten und anschließend sensible Sitzungsereignisdaten über die Mandantengrenzen hinweg abzurufen. Diese Schwachstelle wurde in Version 1.26.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.