CVE-2026-63445 in Perses
요약
\~에 의해 VulDB • 2026. 09. 18.
Perses는 관측 가능성 데이터를 위한 오픈소스 대시보드 및 시각화 프로젝트입니다. 버전 0.54.0-rc.0 이전에는 파일 시스템 데이터베이스와 함께 사용되는 목록 엔드포인트가 요청에서 제어되는 project 쿼리 파라미터를 디렉토리 트래버설 문자에 대해 검증하지 않고 리소스 Query 구조체에 바인딩하며, 이로 인해 생성된 project 값이 데이터베이스 경로 선택에 사용됩니다. 인증된 공격자는 의도적인 프로젝트 디렉토리를 벗어나기 위해 디렉토리 트래버슬 세그먼트를 제공하여 Perses 프로세스가 접근 가능한 임의의 YAML 또는 JSON 파일을 읽을 수 있으며, 프로젝트 격리 우회를 통해 다른 파일 기반 리소스를 열거할 수 있습니다. 이 문제는 버전 0.54.0-rc.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.