CVE-2026-40904
WysokieStreszczenie
W wersji 4.9.0 aplikacji Chartbrew występuje luka, która pozwala atakującym z niskimi uprawnieniami na dostęp do danych z innych projektów w tym samym zespole. Luka ta umożliwia odczyt, wykonanie, tworzenie, aktualizację oraz usuwanie zestawów danych i żądań danych, do których atakujący nie powinien mieć dostępu.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do danych oraz ich nieuprawnione wykorzystanie, co może prowadzić do ujawnienia wrażliwych informacji między projektami.
Rekomendacja
Zaleca się aktualizację do wersji 5.0.0, w której problem został naprawiony, aby zabezpieczyć się przed tym rodzajem ataku.
Inne podatności w Chartbrew
Zobacz wszystkie- CVE-2026-40601Wysokie
W wersji 4.9.0 aplikacji Chartbrew występuje luka, która pozwala na dostęp do punktu końcowego POST /api/chart/:chart_id/query bez uwierzytelnienia. Atakujący, znając identyfikator wykresu, może odświeżyć dane i uzyskać dostęp do prywatnych wykresów.
- CVE-2026-40600Wysokie
W wersji 4.9.0 aplikacji Chartbrew, uwierzytelnieni użytkownicy mający dostęp do jednego projektu mogą aktualizować lub usuwać rekord SharePolicy należący do innego projektu. Problem wynika z braku weryfikacji, czy policy_id należy do danego projektu.
- CVE-2026-40595Wysokie
W wersji 4.9.0 aplikacji Chartbrew występuje luka, która pozwala na publiczny dostęp do danych wykresów, nawet jeśli są one ukryte. Luka ta wynika z niewłaściwej weryfikacji uprawnień dostępu do wykresów w projektach publicznych.
Oryginalny opis (angielski, źródło NVD)
Chartbrew is an open-source web application that can connect directly to databases and APIs and use the data to create charts. In version 4.9.0, Chartbrew exposes multiple dataset and dataRequest endpoints that authorize low-privileged project members at the team level instead of binding the requested dataset_id, dataRequest id, and connection_id to the caller's allowed projects. An authenticated attacker who only has access to one project inside a team can read, execute, create, update, and delete datasets and data requests that belong to other projects in the same team. The issue is exploitable remotely with ordinary project-level credentials and leads to cross-project data disclosure and unauthorized use of victim-side database or API connections. This issue has been patched in version 5.0.0.