CVE-2026-57230
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność w OpenReplay przed wersją 1.27.0 pozwala uwierzytelnionemu użytkownikowi na odczyt dowolnej tabeli ClickHouse poprzez wstrzyknięcie zapytań SQL w API wyszukiwania sesji i analityki. Atakujący może wykorzystać ślepe wyciekanie danych (boolean-based i time-based) oraz zakłócić działanie wyszukiwania sesji dla wszystkich użytkowników.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do wrażliwych danych przechowywanych w ClickHouse oraz przerwanie działania funkcji wyszukiwania sesji, co może wpłynąć na ciągłość monitorowania i analizy sesji w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować OpenReplay do wersji 1.27.0 lub nowszej, która zawiera poprawkę eliminującą podatność na wstrzyknięcie zapytań.
Inne podatności w OpenReplay
Zobacz wszystkie- CVE-2026-55879Krytyczne
OpenReplay w wersjach od 1.24.0 do 1.25.0 zawiera podatność na atak XSS, która pozwala nieuwierzytelnionemu atakującemu na przejęcie konta dashboardu. Atakujący może wysłać złośliwy skrypt poprzez niestandardowe nazwy zdarzeń lub adresy URL stron, które są przechowywane w ClickHouse bez kodowania wyjściowego, a następnie renderowane w dashboardzie, co umożliwia kradzież tokena JWT z localStorage.
- CVE-2026-55881Wysokie
Podatność w OpenReplay umożliwia uwierzytelnionemu użytkownikowi o niskich uprawnieniach odczytanie pierwszych 15 sekund nagrania sesji innego najemcy. Problem wynika z braku weryfikacji przynależności sesji do projektu podczas generowania tymczasowych adresów URL do pobierania danych.
- CVE-2026-55880Wysokie
W OpenReplay w wersji 1.27.0 i wcześniejszych trzy funkcje mutacji (notes.delete, dashboards.update_widget, dashboards.remove_widget) nie sprawdzały własności zasobu, co pozwalało uwierzytelnionym użytkownikom na usuwanie notatek sesji innych użytkowników oraz modyfikowanie widżetów na ich prywatnych pulpitach.
Oryginalny opis (angielski, źródło NVD)
OpenReplay is a self-hosted session replay suite. Prior to 1.27.0, the session search and analytics API in enterprise editions with multi-tenancy enabled built ClickHouse queries by inserting user input into the query string, including two positions that took input without escaping, allowing an authenticated member to read any ClickHouse table through blind boolean and time-based exfiltration and to break the project's session search for all viewers until the stored key is removed. This issue is fixed in version 1.27.0.