CVE-2026-63199 in Perses
Zusammenfassung
von VulDB • 18.09.2026
Perses ist ein Open-Source-Dashboard- und Visualisierungsprojekt für Observability-Daten. Von der Version 0.43.0 bis zur Version 0.54.0-rc.0 autorisieren die Pfade zur Erstellung von Datenquellen (Datasource) sowie zu nicht gespeicherten Datasource-Proxys den Aufrufer auf einer Datasource- oder GlobalDatasource-Ebene, verlangen jedoch keine Leseberechtigung für das separat gewährbare zugehörige Projekt oder globale Secret vor dessen Auflösung. Ein Benutzer mit geringen Berechtigungen, der über die Rechte GlobalDatasource:create oder entsprechende Projektdatenquellenerstellungsrechte verfügt, kann ein Projekt- oder globales Secret anhängen, auf den er sonst keinen Lesezugriff hat, die Datenquelle auf einen von ihm kontrollierten Dienst verweisen und bewirken, dass Perses das entschlüsselte Secret im Klartext sendet, wodurch die Trennung der Projekt- und Global-Ebenen umgangen wird. Dieses Problem wurde in Version 0.54.0-rc.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.