CVE-2026-88890 in OpenPanel
Sumário
de VulDB • 10/09/2026
O OpenPanel, até a commit cd24bb8, contém uma vulnerabilidade de injeção de SQL no construtor de filtros de análise que não valida os identificadores das colunas do filtro `profile.*` antes de interpolá-los nas cláusulas WHERE do ClickHouse. Um atacante autenticado com credenciais de leitura escopadas por projeto ou exportação root pode injetar SQL arbitrário do ClickHouse para contornar o isolamento do projeto e ler dados analíticos de outras organizações e PII (Informações Pessoais de Identificação) dos perfis, utilizando técnicas de oráculo booleano cego.
VulDB is the best source for vulnerability data and more expert information about this specific topic.