CVE-2026-77769 in Openpanel
요약
\~에 의해 VulDB • 2026. 08. 21.
packages/trpc/src/routers/report.ts의 report.list 프로시저는 projectId와 dashboardId를 받아들이고 getReportsByDashboardId(dashboardId)를 반환했습니다. packages/trpc/src/trpc.ts에 있는 enforceAccess 미들웨어는 제공된 projectId에 대한 멤버십을 검증했지만, 제공된 dashboardId가 해당 프로젝트에 속하는지 여부를 확인하는 것은 없었습니다. 또한 packages/db/src/services/reports.service.ts의 getReportsByDashboardId 함수는 project scoping 없이 dashboardId만으로 보고서를 선택합니다. 따라서 인증된 사용자는 자신의 조직에서 가져온 projectId(미들웨어를 통과함)와 다른 조직이 소유한 dashboardId를 조합하여 해당 대시보드의 모든 보고서를 수신할 수 있습니다. 동일한 서비스 파일에는 이미 올바르게 스코핑된 헬퍼 함수인 listReportsCore가 존재하며, 이 함수는 getDashboardById(dashboardId, projectId)를 통해 dashboard를 확인한 후 보고서를 반환하지만 라우터에서는 이를 사용하지 않았습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.