CVE-2026-63199 in Perses
Resumen
por VulDB • 2026-09-18
Perses es un proyecto de código abierto para paneles y visualización de datos de observabilidad. Desde la versión 0.43.0 hasta la 0.54.0-rc.0, las rutas proxy para la creación de fuentes de datos (datasource) y las no guardadas autorizan al solicitante en el ámbito de una Datasource o GlobalDatasource, pero no requieren permiso de lectura para el proyecto asociado o el Secret global, que se conceden por separado, antes de resolverlo. Un usuario con privilegios bajos que tenga derechos de creación de GlobalDatasource:create o de creación de fuentes de datos a nivel de proyecto puede adjuntar un Secret de proyecto o global al que no podría acceder normalmente, dirigir la fuente de datos hacia un servicio controlado por el usuario y hacer que Perses envíe el secret descifrado en texto plano, burlando la separación entre los ámbitos de proyecto y global. Este problema se soluciona en la versión 0.54.0-rc.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.