CVE-2026-41518
WysokieCVSS 7.6Streszczenie
Chartbrew to aplikacja webowa typu open-source, która umożliwia łączenie się z bazami danych i API w celu tworzenia wykresów. W wersjach od 4.9.0 do 5.0.0, uwierzytelniony użytkownik z uprawnieniami edytora projektu może przechowywać dowolny kod HTML/JavaScript w polu `ChartDatasetConfig.legend`, co prowadzi do wstrzyknięcia złośliwego kodu do elementu DOM tooltipa.
Ocena ryzyka
Każdy nieautoryzowany użytkownik przeglądający publiczny pulpit nawigacyjny uruchamia kod JavaScript przy ładowaniu strony, co stwarza poważne ryzyko dla bezpieczeństwa danych i użytkowników. Możliwość wykonania złośliwego kodu może prowadzić do kradzieży danych lub innych ataków.
Rekomendacja
Zaleca się aktualizację do wersji 5.0.1, która zawiera poprawkę eliminującą tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników oraz monitorować publiczne pulpity nawigacyjne pod kątem nieautoryzowanych zmian.
Oryginalny opis (angielski, źródło NVD)
Chartbrew is an open-source web application that can connect directly to databases and APIs and use the data to create charts. In versions 4.9.0 through 5.0.0, an authenticated user with project-editor permissions can store arbitrary HTML/JavaScript in the `ChartDatasetConfig.legend` field. The payload is persisted verbatim in the database, propagated through the Chart.js rendering pipeline, and injected into the tooltip DOM element via an unguarded `innerHTML` assignment in `ChartTooltip.js`. Every unauthenticated viewer of the public dashboard triggers JavaScript execution on page load — no hover interaction is required. Browser-based Playwright verification confirmed `alert('localhost')` fires immediately and `<img src="x" onerror="alert(document.domain)">` is present in the `#chartjs-tooltip` DOM element. Version 5.0.1 contains a fix.