CVE-2026-63199 in Perses
Résumé
par VulDB • 18/09/2026
Perses est un projet open-source de tableau de bord et de visualisation pour les données d’observabilité. De la version 0.43.0 jusqu’à la 0.54.0-rc.0, les chemins proxy liés à la création des sources de données (datasource) et aux sources de données non sauvegardées autorisent l’appelant sur un scope Datasource ou GlobalDatasource, mais ne nécessitent pas d’autorisation de lecture pour le projet associé ou le Secret global, qui sont accordés séparément, avant leur résolution. Un utilisateur à privilèges faibles disposant des droits GlobalDatasource:create ou des droits correspondants de création de source de données au niveau du projet peut attacher un Secret (projet ou global) qu’il ne peut pas lire autrement, pointer la source de données vers un service contrôlé par l’utilisateur et amener Perses à envoyer le secret déchiffré en clair, contournant ainsi la séparation des scopes projet et global. Ce problème est corrigé dans la version 0.54.0-rc.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.