CVE-2026-55881
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w OpenReplay umożliwia uwierzytelnionemu użytkownikowi o niskich uprawnieniach odczytanie pierwszych 15 sekund nagrania sesji innego najemcy. Problem wynika z braku weryfikacji przynależności sesji do projektu podczas generowania tymczasowych adresów URL do pobierania danych.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych sesji użytkowników, co może prowadzić do naruszenia prywatności i utraty zaufania klientów.
Rekomendacja
Należy niezwłocznie zaktualizować OpenReplay do wersji 1.27.0 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w OpenReplay
Zobacz wszystkie- CVE-2026-55879Krytyczne
OpenReplay w wersjach od 1.24.0 do 1.25.0 zawiera podatność na atak XSS, która pozwala nieuwierzytelnionemu atakującemu na przejęcie konta dashboardu. Atakujący może wysłać złośliwy skrypt poprzez niestandardowe nazwy zdarzeń lub adresy URL stron, które są przechowywane w ClickHouse bez kodowania wyjściowego, a następnie renderowane w dashboardzie, co umożliwia kradzież tokena JWT z localStorage.
- CVE-2026-57230Średnie
Podatność w OpenReplay przed wersją 1.27.0 pozwala uwierzytelnionemu użytkownikowi na odczyt dowolnej tabeli ClickHouse poprzez wstrzyknięcie zapytań SQL w API wyszukiwania sesji i analityki. Atakujący może wykorzystać ślepe wyciekanie danych (boolean-based i time-based) oraz zakłócić działanie wyszukiwania sesji dla wszystkich użytkowników.
- CVE-2026-55880Wysokie
W OpenReplay w wersji 1.27.0 i wcześniejszych trzy funkcje mutacji (notes.delete, dashboards.update_widget, dashboards.remove_widget) nie sprawdzały własności zasobu, co pozwalało uwierzytelnionym użytkownikom na usuwanie notatek sesji innych użytkowników oraz modyfikowanie widżetów na ich prywatnych pulpitach.
Oryginalny opis (angielski, źródło NVD)
OpenReplay is a self-hosted session replay suite. From 1.22.0 before 1.27.0, getFirstMob returned 15-second presigned S3 download URLs for a session's DOM-replay recording based solely on the session path parameter, while validateProjectAccess checked only that the project belonged to the requester's tenant and did not verify that the session belonged to that project, allowing any authenticated low-privilege user to read another tenant's first 15 seconds of session-replay recording data. This issue is fixed in version 1.27.0.