CVE-2026-63458
WysokieCVSS 7.1Streszczenie
Perses to projekt dashboardów i wizualizacji danych obserwowalności. W wersjach przed 0.54.0-beta.3 uwierzytelniony użytkownik z dostępem viewer do jednego projektu może podać inny projekt w parametrze zapytania project na endpointach listy, co pozwala na dostęp do dashboardów, źródeł danych i zmiennych bez autoryzacji dla wybranego projektu.
Ocena ryzyka
Naruszenie izolacji dzierżawców na poziomie projektu może ujawnić pełne specyfikacje zasobów należących do innych projektów. Może to prowadzić do wycieku informacji i nieautoryzowanego dostępu do danych.
Rekomendacja
Zaktualizuj Perses do wersji 0.54.0-beta.3 lub nowszej. Sprawdź, czy kontrola dostępu na poziomie projektu jest prawidłowo egzekwowana.
Inne podatności w Perses
Zobacz wszystkie- CVE-2026-63445Wysokie
Perses to projekt dashboardów i wizualizacji danych obserwowalności. W wersjach przed 0.54.0-rc.0 endpointy listy używane z bazą danych systemu plików wiążą kontrolowany przez żądanie parametr project z strukturą Query bez walidacji pod kątem znaków przejścia katalogów, co pozwala na odczyt dowolnych plików YAML lub JSON dostępnych dla procesu Perses.
- CVE-2026-63199Wysokie
Perses w wersjach od 0.43.0 do 0.54.0-rc.0 nie wymaga uprawnień odczytu do powiązanego projektu lub globalnego Sekretu podczas tworzenia lub proxy niezapisanego datasource. Użytkownik z niskimi uprawnieniami może podłączyć Sekret, którego normalnie nie może odczytać, wskazać datasource na kontrolowaną przez siebie usługę i spowodować wysłanie odszyfrowanego sekretu w postaci jawnej.
Oryginalny opis (angielski, źródło NVD)
Perses is an open-source dashboard and visualization project for observability data. Prior to 0.54.0-beta.3, an authenticated user with viewer access to one project can supply another project through the project query parameter on project-scoped list endpoints, including /api/v1/projects/{project}/dashboards and /api/v1/datasources. The request-controlled project value is used to select dashboards, datasources, and variables without enforcing the caller's authorization for that selected project, which breaks project-level tenant isolation and exposes complete resource specifications belonging to other projects. This issue is fixed in version 0.54.0-beta.3.