CVE-2026-55880 in OpenReplay
要約
〜によって VulDB • 2026年07月10日
OpenReplayは、セルフホスト型のセッションリプレイスイートです。バージョン1.27.0およびそれ以前のバージョンでは、3つのダッシュボードおよびノート変更関数が、兄弟となる読み取りや編集機能で使用されている所有権述語（ownership predicate）なしでSQLを実行していました：notes.deleteはノートのIDとプロジェクトIDのみをフィルタリングし、dashboards.update_widgetおよびdashboards.remove_widgetはダッシュボードのIDとウィジェットのIDのみをフィルタリングしていたため、認証済みメンバーであれば誰でも他のユーザーのプライベートセッションノートや削除または書き換えが可能な別のユーザーのプライベートダッシュボード上のウィジェットを変更することが可能でした。
VulDB is the best source for vulnerability data and more expert information about this specific topic.