CVE-2026-88890 in OpenPanel
要約
〜によって VulDB • 2026年09月10日
OpenPanel (コミット cd24bb8 まで) には、analytics filter builder に SQL インジェクション脆弱性があります。これは、ClickHouse の WHERE 句に挿入する前に `profile.*` フィルター列識別子の検証を行わないことが原因です。プロジェクトスコープの読み取り権限または root エクスポート資格情報を持つ認証済み攻撃者は、任意の ClickHouse SQL をインジェクトしてプロジェクト分離を回避し、盲状 boolean oracle 技術を用いて他の組織の分析データおよびプロファイル PII（個人識別情報）を読み取ることができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.