CVE-2026-85613
WysokieCVSS 8.2Streszczenie
OpenPanel przed wersją 2.3.0 zawiera podatność na cross-site scripting w nieuwierzytelnionym punkcie końcowym proxy favicon GET /misc/favicon, która umożliwia zdalnym atakującym wykonanie skryptów poprzez dostarczenie adresu URL pliku SVG. Atakujący mogą hostować złośliwe pliki SVG z osadzonymi skryptami, które wykonują się w przeglądarce ofiary na pochodzeniu API, umożliwiając uwierzytelnione żądania do chronionych punktów końcowych.
Ocena ryzyka
Ryzyko obejmuje kradzież sesji i przejęcie kont użytkowników, a także nieautoryzowany dostęp do funkcji administracyjnych, co może prowadzić do naruszenia integralności i poufności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację OpenPanel do wersji 2.3.0 lub nowszej, która zawiera poprawkę eliminującą podatność XSS.
Inne podatności w OpenPanel
Zobacz wszystkie- CVE-2026-85615Średnie
OpenPanel przed wersją 2.3.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w procedurach tRPC report.getLayouts i report.resetLayout, które nie wiążą dashboardId z autoryzowanym projectId. Uwierzytelnieni atakujący mogą podać dowolny dashboardId ofiary z własnym projectId, aby odczytać układy raportów i konfiguracje lub usunąć układy dashboardów między dzierżawcami.
- CVE-2026-85614Wysokie
OpenPanel przed wersją 2.3.0 zawiera podatność nieuwierzytelnionego ataku SSRF w punkcie końcowym GET /tools/site-checker. Parametr URL jest w pełni kontrolowany przez klienta i nie ma filtrowania adresów prywatnych ani ochrony przed DNS-rebinding.
- CVE-2026-85612Wysokie
OpenPanel przed wersją 2.3.0 zawiera nieuwierzytelnioną podatność na podrabianie żądań po stronie serwera (SSRF) w punktach końcowych /misc/favicon i /misc/og, które akceptują parametr url dostarczony przez atakującego z niewystarczającą walidacją. Atakujący mogą zmusić API do pobierania dowolnych wewnętrznych hostów i punktów końcowych metadanych chmury, a małe odpowiedzi są zwracane w niezmienionej formie, umożliwiając kradzież poświadczeń i enumerację wewnętrznych usług.
- CVE-2026-85611Średnie
OpenPanel przed wersją 2.3.0 zawiera podatność na złamanie autoryzacji na poziomie obiektów między dzierżawcami w procedurach tRPC report.getLayouts i report.resetLayout, które nie ograniczają zapytań dashboardów do projektu wywołującego. Uwierzytelnieni atakujący mogą podać własny projectId z odgadnionym dashboardId ofiary, aby odczytać poufne definicje raportów lub trwale usunąć układy dashboardów między dzierżawcami.
- CVE-2026-85610Wysokie
OpenPanel przed wersją 2.3.0 nieprawidłowo waliduje wyrażenia formuł wykresów, co pozwala uwierzytelnionym członkom projektu z prawem odczytu na wykonanie dowolnego kodu poprzez odzyskanie natywnego konstruktora funkcji JavaScript przez obiekty macierzy mathjs. Atakujący mogą użyć odzyskanego konstruktora do załadowania wbudowanych modułów Node.js i wykonania poleceń systemu operacyjnego z uprawnieniami procesu API, omijając granice autoryzacji organizacji.
- CVE-2026-85609Wysokie
OpenPanel przed wersją 2.3.0 zawiera nieuwierzytelnioną podatność na pełny odczyt SSRF w punkcie końcowym GET /tools/site-checker, który przekazuje parametr url dostarczony przez użytkownika do funkcji fetchWithRedirects() bez żadnej walidacji SSRF/IP. Zdalny atakujący może uzyskać dostęp do punktów końcowych metadanych instancji chmury, skanować wewnętrzne usługi i porty oraz odczytywać zwracaną treść, a także ujawniać wewnętrzne adresy IP.
Oryginalny opis (angielski, źródło NVD)
OpenPanel before 2.3.0 contains a cross-site scripting vulnerability in the unauthenticated favicon proxy endpoint GET /misc/favicon that allows remote attackers to execute scripts by supplying an SVG file URL. Attackers can host malicious SVG files with embedded scripts that execute in the victim's browser on the API origin, enabling same-origin credentialed requests to authenticated endpoints.