CVE-2026-85614

OpenPanel do wersji 2.3.0 zawiera podatność na wstrzyknięcie formuł CSV, która pozwala nieuwierzytelnionym atakującym na osadzenie formuł arkusza kalkulacyjnego poprzez podanie spreparowanych identyfikatorów profili do punktu /track. Atakujący mogą wysyłać zdarzenia śledzenia z identyfikatorami profili, takimi jak =HYPERLINK(...), pasującymi do kohorty, więc eksportowane pliki CSV kohorty wykonują formuły, które eksfiltrują dane z sąsiednich komórek.

OpenPanel API do wersji 2.3.0 nie weryfikuje kryptograficznego skrótu sekretu klienta przed autoryzacją zdarzeń przychodów i filtrowania botów. Atakujący z publicznym ID klienta może podać dowolny fałszywy sekret, aby wstrzyknąć sfałszowane metryki przychodów i ominąć filtry antybotowe.

OpenPanel do wersji 2.3.0 nie escapuje kluczy właściwości w zapytaniach SQL do ClickHouse, co pozwala uwierzytelnionym użytkownikom na wstrzykiwanie logicznych warunków SQL. Atakujący może podać spreparowane nazwy filtrów, aby ominąć izolację projektów i uzyskać dostęp do metryk innych projektów.

OpenPanel do wersji 2.3.0 zapisuje tokeny uwierzytelniające Model Context Protocol z parametrów zapytania URL do zwykłych logów aplikacji bez maskowania. Atakujący z dostępem do standardowego wyjścia aplikacji lub scentralizowanych systemów logowania mogą przechwycić zakodowane w base64 poświadczenia, aby odtworzyć żądania MCP i uzyskać dostęp do analityki projektu.

OpenPanel do wersji 2.3.0 w procedurach udostępniania nie waliduje kontroli dostępu, co pozwala nieuwierzytelnionym użytkownikom z linkiem do udostępniania pobierać hashe haseł argon2id oraz pełne konfiguracje raportów, w tym nazwy zdarzeń, filtry i wymiary analityczne.

W OpenPanel do wersji 2.3.0 importer danych pobiera adres URL dostarczony przez wywołującego za pomocą zwykłego fetch, zamiast używać istniejącej ochrony SSRF. Uwierzytelniony członek organizacji może sprawić, że serwer połączy się z dowolnym adresem, a wyniki HTTP będą widoczne jako błąd importu, co umożliwia skanowanie wewnętrznych hostów, portów i ścieżek.

OpenPanel do wersji 2.3.0 nie egzekwuje poziomu dostępu tylko do odczytu w 26 z 29 procedur modyfikujących, co pozwala użytkownikom z uprawnieniami tylko do odczytu na modyfikowanie, usuwanie i publikowanie danych projektu. Mogą oni usuwać raporty i pulpity, planować usunięcie całych projektów, publikować prywatne analizy jako publiczne linki oraz modyfikować reguły alertów.

OpenPanel do wersji 2.3.0 zawiera podatność na wstrzyknięcie SQL w konstruktorze filtrów analitycznych, która nie waliduje identyfikatorów kolumn profile.* przed interpolacją do klauzul WHERE w ClickHouse. Uwierzytelniony atakujący z uprawnieniami odczytu projektu lub root może wstrzyknąć dowolny SQL, omijając izolację projektów i odczytywać dane analityczne oraz PII innych organizacji.

OpenPanel przed wersją 2.3.0 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w procedurach tRPC report.getLayouts i report.resetLayout, które nie wiążą dashboardId z autoryzowanym projectId. Uwierzytelnieni atakujący mogą podać dowolny dashboardId ofiary z własnym projectId, aby odczytać układy raportów i konfiguracje lub usunąć układy dashboardów między dzierżawcami.

OpenPanel przed wersją 2.3.0 zawiera podatność na cross-site scripting w nieuwierzytelnionym punkcie końcowym proxy favicon GET /misc/favicon, która umożliwia zdalnym atakującym wykonanie skryptów poprzez dostarczenie adresu URL pliku SVG. Atakujący mogą hostować złośliwe pliki SVG z osadzonymi skryptami, które wykonują się w przeglądarce ofiary na pochodzeniu API, umożliwiając uwierzytelnione żądania do chronionych punktów końcowych.