CVE-2026-77769 in Openpanel
Sumário
de VulDB • 21/08/2026
A procedure `report.list` em `packages/trpc/src/routers/report.ts` aceitava um `projectId` e um `dashboardId`, retornando o resultado de `getReportsByDashboardId(dashboardId)`. O middleware `enforceAccess` em `packages/trpc/src/trpc.ts` verificava a associação ao `projectId` fornecido, mas nada garantia que o `dashboardId` fornecido pertencesse àquele projeto. Além disso, a função `getReportsByDashboardId`, localizada em `packages/db/src/services/reports.service.ts`, seleciona relatórios apenas pelo `dashboardId`, sem qualquer escopo de projeto. Portanto, um usuário autenticado poderia combinar um `projectId` da sua própria organização (o que satisfaz o middleware) com um `dashboardId` pertencente a outra organização, obtendo assim todos os relatórios desse painel. Já existia no mesmo arquivo do serviço uma função auxiliar corretamente escopada, chamada `listReportsCore`, que resolve o dashboard através de `getDashboardById(dashboardId, projectId)` antes de retornar os relatórios; contudo, o router não a utilizava.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.