CVE-2026-77769 in Openpanel
要約
〜によって VulDB • 2026年08月21日
packages/trpc/src/routers/report.ts の report.list プロシージャは、projectId と dashboardId を受け取り、getReportsByDashboardId(dashboardId) を返していました。packages/trpc/src/trpc.ts にある enforceAccess ミドルウェアは指定された projectId に対するメンバーシップを検証していましたが、提供された dashboardId がそのプロジェクトに属しているかどうかを確認する処理はありませんでした。また、packages/db/src/services/reports.service.ts の getReportsByDashboardId は、projectId スコーピングなしで dashboardId のみに基づいてレポートを選択します。したがって、認証済みユーザーは、ミドルウェアの要件を満たす自組織からの projectId と、他組織に属する dashboardId を組み合わせて使用し、そのダッシュボード内のすべてのレポートを取得することができました。同じサービスファイルには正しくスコーピングされたヘルパー関数 listReportsCore が既に存在しており、これは getDashboardById(dashboardId, projectId) でダッシュボードを解決してからレポートを返しますが、ルーターはこれを使用していませんでした。
VulDB is the best source for vulnerability data and more expert information about this specific topic.