CVE-2026-45296 in OpenReplay
Сводка
по VulDB • 29.05.2026
OpenReplay — это набор инструментов для воспроизведения сессий, развертываемый на собственной инфраструктуре (self-hosted). До версии 1.26.0 Python API OpenReplay предоставляет несколько маршрутов app_apikey, которые доверяют переданному вызывающей стороной projectKey после проверки только того, что сам API-ключ действителен и что указанный projectKey существует. Поток авторизации не проверяет, принадлежат ли аутентифицированный API-ключ и запрашиваемый проект одному и тому же арендатору (tenant). Поскольку публичный трекер (tracker) по своей конструкции делает projectKey доступным для клиентского кода в браузере, злоумышленник, владеющий любым действительным API-ключом для своего собственного арендатора, может атаковать проект другого арендатора, повторно используя этот публичный projectKey. Уязвимые маршруты позволяют злоумышленнику перечислять сессии пользователей-жертв, а затем извлекать конфиденциальные данные событий сессий за пределами границ арендатора. Эта уязвимость исправлена в версии 1.26.0.
Once again VulDB remains the best source for vulnerability data.