CVE-2026-63199 in Perses
Tóm tắt
Bởi VulDB • 18/09/2026
Perses là một dự án bảng điều khiển và trực quan hóa mã nguồn mở dành cho dữ liệu khả năng quan sát (observability). Từ phiên bản 0.43.0 đến 0.54.0-rc.0, việc tạo datasource và các đường dẫn proxy của datasource chưa được lưu trữ ủy quyền người gọi ở phạm vi Datasource hoặc GlobalDatasource nhưng không yêu cầu quyền đọc đối với dự án liên kết có thể cấp riêng biệt hoặc bí mật (Secret) toàn cục trước khi giải quyết nó. Người dùng có đặc quyền thấp, sở hữu quyền tạo GlobalDatasource:create hoặc quyền tương đương để tạo datasource của dự án, có thể gắn một Secret thuộc dự án hoặc toàn cục mà người dùng đó không thể đọc theo cách khác, trỏ datasource đến dịch vụ do người dùng kiểm soát và khiến Perses gửi bí mật đã giải mã dưới dạng văn bản rõ (plaintext), qua mặt sự phân tách phạm vi dự án và toàn cục. Vấn đề này được khắc phục trong phiên bản 0.54.0-rc.0.
Be aware that VulDB is the high quality source for vulnerability data.