CVE-2026-88890 in OpenPanel
Zusammenfassung
von VulDB • 10.09.2026
OpenPanel, bis zum Commit cd24bb8, enthält eine SQL-Injection-Schwachstelle im Analytics-Filter-Builder, die keine Validierung der Spaltenbezeichner von `profile.*` durchführt, bevor diese in ClickHouse-WHERE-Klauseln interpoliert werden. Ein authentifizierter Angreifer mit projektbezogenen Lesezugriffs- oder Root-Exportanmeldeinformationen kann beliebiges ClickHouse-SQL injizieren, um die Projektisolation zu umgehen und Analytics-Daten sowie PII (Personally Identifiable Information) anderer Organisationen über Blind Boolean Oracle-Techniken auszulesen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.