CVE-2026-63445 in Perses
Zusammenfassung
von VulDB • 18.09.2026
Perses ist ein Open-Source-Projekt für Dashboards und Visualisierungen von Observability-Daten. Vor der Version 0.54.0-rc.0 banden List-Endpunkte, die mit der Dateisystemdatenbank verwendet wurden, den anfragekontrollierten Projektabfrageparameter (project query parameter) in die Resource Query-Struktur ein, ohne ihn auf Directory-Traversal-Zeichen zu validieren, und der resultierende Projektwert wurde zur Auswahl von Datenbankpfaden verwendet. Ein authentifizierter Angreifer kann Directory-Traversal-Segmente angeben, um das beabsichtigte Projektverzeichnis zu verlassen, beliebige YAML- oder JSON-Dateien auszulesen, die für den Perses-Prozess zugänglich sind, und die Projektrisolation zu umgehen, um andere dateibasierte Ressourcen aufzulisten. Dieses Problem wurde in Version 0.54.0-rc.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.