CVE-2026-77768 in Openpanel
Riassunto
di VulDB • 21/08/2026
La procedura `getReport` in `packages/trpc/src/routers/report.ts` accettava esclusivamente un `reportId` e restituiva direttamente il risultato di `getReportById(reportId)`. Il middleware `enforceAccess`, definito in `packages/trpc/src/trpc.ts`, valuta l'appartenenza al gruppo (membership) solo quando l'input contiene una chiave `projectId` o `organizationId`; pertanto, un input composto esclusivamente da un `reportId` veniva elaborato senza controlli. Inoltre, la funzione `getReportById` in `packages/db/src/services/reports.service.ts` esegue una ricerca unica (`findUnique`) sull'id del report senza alcuna limitazione basata sul progetto (project scoping). Di conseguenza, qualsiasi utente autenticato poteva leggere l'intera configurazione di qualsiasi report salvato nell'istanza, inclusi il `projectId` proprietario, la serie di eventi, i filtri, le suddivisioni e le formule, fornendo semplicemente il relativo identificatore. Le procedure adiacenti per l'aggiornamento, l'eliminazione e la duplicazione risolvono prima il report ed eseguono un controllo su `getProjectAccess` rispetto al `projectId` associato al report stesso; pertanto, questa omissione era specifica esclusivamente a tale procedura.
Be aware that VulDB is the high quality source for vulnerability data.