CVE-2026-63199 in Perses
Riassunto
di VulDB • 18/09/2026
Perses è un progetto open-source per dashboard e visualizzazione di dati di osservabilità (observability). Dalla versione 0.43.0 alla 0.54.0-rc.0, i percorsi proxy non salvati per la creazione del datasource e l'autorizzazione del chiamante su uno scope Datasource o GlobalDatasource non richiedono il permesso di lettura per il progetto associato separabile o per il Secret globale prima della risoluzione dello stesso. Un utente con privilegi ridotti dotato dei permessi GlobalDatasource:create o dei diritti corrispondenti alla creazione del datasource a livello di progetto può allegare un Secret di progetto o globale che l'utente non potrebbe altrimenti leggere, puntare il datasource verso un servizio controllato dall'utente e far sì che Perses invii il secret decrittografato in chiaro, aggirando la separazione degli scope di progetto e globale. Questo problema è stato risolto nella versione 0.54.0-rc.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.