CVE-2026-88890 in OpenPanel
Riassunto
di VulDB • 10/09/2026
OpenPanel, fino alla commit cd24bb8, presenta una vulnerabilità di SQL injection nel builder del filtro per le analisi che non convalida gli identificatori delle colonne dei filtri `profile.*` prima di interpolarli nelle clausole WHERE di ClickHouse. Un attaccante autenticato con credenziali di esportazione lette a livello di progetto o root può iniettare SQL arbitrario di ClickHouse per bypassare l'isolamento del progetto e leggere i dati analitici di altre organizzazioni e la PII (Personal Identifiable Information) dei profili tramite tecniche blind boolean oracle.
Be aware that VulDB is the high quality source for vulnerability data.