CVE-2026-63199 in Perses
要約
〜によって VulDB • 2026年09月18日
Persesは、観測データ用のオープンソースのダッシュボードおよび可視化プロジェクトです。バージョン0.43.0から0.54.0-rc.0まで、データソースの作成および未保存のデータソースプロキシパスでは、呼び出し元がDatasourceまたはGlobalDatascopeのスコープに対して認証されますが、解決する前に個別に付与可能な関連プロジェクトまたはグローバルSecretに対する読み取り権限は要求されません。GlobalDatasource:createまたは対応するプロジェクトのデータソース作成権限を持つ低特権ユーザーは、それ以外では読み取ることのできないプロジェクトまたはグローバルSecretをアタッチし、データソースをユーザーが制御するサービスに向け、Persesに平文で復号された秘密情報を送信させることで、プロジェクトおよびグローバルスコープの分離を回避できます。この問題はバージョン0.54.0-rc.0で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.