CVE-2026-63199
WysokieCVSS 8.3Streszczenie
Perses w wersjach od 0.43.0 do 0.54.0-rc.0 nie wymaga uprawnień odczytu do powiązanego projektu lub globalnego Sekretu podczas tworzenia lub proxy niezapisanego datasource. Użytkownik z niskimi uprawnieniami może podłączyć Sekret, którego normalnie nie może odczytać, wskazać datasource na kontrolowaną przez siebie usługę i spowodować wysłanie odszyfrowanego sekretu w postaci jawnej.
Ocena ryzyka
Naruszenie separacji zakresów projektowych i globalnych może doprowadzić do wycieku poufnych danych uwierzytelniających, takich jak hasła czy klucze API, do atakującego.
Rekomendacja
Zaktualizuj Perses do wersji 0.54.0-rc.0 lub nowszej, która naprawia ten problem.
Inne podatności w Perses
Zobacz wszystkie- CVE-2026-63458Wysokie
Perses to projekt dashboardów i wizualizacji danych obserwowalności. W wersjach przed 0.54.0-beta.3 uwierzytelniony użytkownik z dostępem viewer do jednego projektu może podać inny projekt w parametrze zapytania project na endpointach listy, co pozwala na dostęp do dashboardów, źródeł danych i zmiennych bez autoryzacji dla wybranego projektu.
- CVE-2026-63445Wysokie
Perses to projekt dashboardów i wizualizacji danych obserwowalności. W wersjach przed 0.54.0-rc.0 endpointy listy używane z bazą danych systemu plików wiążą kontrolowany przez żądanie parametr project z strukturą Query bez walidacji pod kątem znaków przejścia katalogów, co pozwala na odczyt dowolnych plików YAML lub JSON dostępnych dla procesu Perses.
Oryginalny opis (angielski, źródło NVD)
Perses is an open-source dashboard and visualization project for observability data. From 0.43.0 until 0.54.0-rc.0, the datasource creation and unsaved datasource proxy paths authorize the caller on a Datasource or GlobalDatasource scope but do not require read permission for the separately grantable associated project or global Secret before resolving it. A low-privilege user with GlobalDatasource:create or corresponding project datasource creation rights can attach a project or global Secret that the user cannot otherwise read, point the datasource at a service controlled by the user, and cause Perses to send the decrypted secret in plaintext, bypassing project and global scope separation. This issue is fixed in version 0.54.0-rc.0.