CVE-2026-85712
WysokieCVSS 8.8Streszczenie
Chartbrew przed wersją 5.2.3 w sprawdzaniu uprawnień do współdzielonego projektu ufał kontrolowanemu przez wywołującego team_id i pozwalał gałęzi teamOwner/teamAdmin kontynuować bez potwierdzenia, że docelowy projekt należy do tego zespołu. Uwierzytelniony właściciel lub administrator własnego zespołu może przesłać identyfikator projektu ofiary wraz z własnym team_id, a ścieżka aktualizacji masowo przypisuje pola bez listy dozwolonych, co pozwala przepiąć projekt ofiary do własnego zespołu i uzyskać pełny dostęp.
Ocena ryzyka
Atakujący może przejąć projekt ofiary, uzyskać pełny odczyt i zapis, ujawnić go publicznie, usunąć ochronę hasłem lub doprowadzić do jego utraty, a wspólna ścieżka usuwania umożliwia usunięcie między dzierżawcami.
Rekomendacja
Zaktualizuj Chartbrew do wersji 5.2.3 lub nowszej.
Inne podatności w Chartbrew
Zobacz wszystkie- CVE-2026-69128Średnie
W Chartbrew 5.2.2 blocklista AI SQL pomijała pokrewne funkcje systemu plików PostgreSQL i nie dopasowywała form identyfikatorów w podwójnych cudzysłowach dla zablokowanych funkcji. Owner lub Admin zespołu używający połączenia PostgreSQL z włączonym AI może spowodować, że wygenerowany SQL użyje nieujętej funkcji lub funkcji w cudzysłowach, omijając denylistę. Wymaga to włączonych funkcji AI i podwyższonych uprawnień w Chartbrew.
- CVE-2026-68933Wysokie
Chartbrew przed wersją 5.2.3 przechowuje hasła publicznych dashboardów w postaci jawnej, przyjmuje je przez parametr zapytania URL i weryfikuje bez skutecznego ograniczania liczby prób. Nieuwierzytelniony atakujący może wielokrotnie zgadywać hasła lub pozyskać je z logów serwera bądź proxy. Podatność dotyczy publicznych dashboardów z włączoną ochroną hasłem.
- CVE-2026-85736Wysokie
Chartbrew przed wersją 5.2.3 przy tworzeniu lub aktualizacji połączenia przechowywał wybrane przez atakującego bezwzględne ścieżki plików SSL i SSH, a następnie przy usuwaniu połączenia przekazywał je do fs.unlink bez ograniczenia ścieżki. Użytkownik z uprawnieniami createOwn i deleteOwn na własnym zespole może zapisać docelową ścieżkę w połączeniu i usunąć połączenie, aby wywołać usunięcie dowolnego pliku, np. /code/.env lub kodu źródłowego.
- CVE-2026-85726Wysokie
Chartbrew przed wersją 5.2.3 wstawiał zmienną MongoDB typu data umieszczoną w cytowanym miejscu zapytania jako nieescapowany ciąg, w przeciwieństwie do bezpiecznie escapowanych gałęzi tekstowej, liczbowej i logicznej. Nieuwierzytelniony użytkownik może wysłać spreparowany filtr URL do publicznego, udostępnialnego lub osadzonego wykresu MongoDB, przerwać cytowany literał i zmienić logikę zapytania, wykorzystując liczbę zwróconych wierszy jako wyrocznię boolowską do wyodrębnienia dowolnego pola z kolekcji.
- CVE-2026-85708Wysokie
W Chartbrew w wersjach przed 5.2.3 tokeny udostępniania i osadzania wykresów były podpisywane kluczem CB_SECRET, który w domyślnych instalacjach Docker Compose mógł mieć znaną wartość. Atakujący znający ten sekret może sfałszować token dla prywatnego wykresu i bez logowania odczytać jego dane, w tym chartData, enumerując kolejne identyfikatory liczbowe.
- CVE-2026-54589Wysokie
W Chartbrew przed 5.2.1 mechanizm kontroli wychodzących adresów URL nie rozpoznawał adresów IPv4 osadzonych w prefiksach NAT64. Uwierzytelniony użytkownik z uprawnieniami do zarządzania połączeniami API mógł podać nazwę hosta lub przekierowanie wskazujące adres NAT64 osadzający prywatny lub link-local adres IPv4, co po translacji przez bramę NAT64 pozwalało na dostęp do wewnętrznych zasobów, w tym metadanych chmury 169.254.169.254.
- CVE-2026-40904Wysokie
W wersji 4.9.0 aplikacji Chartbrew występuje luka, która pozwala atakującym z niskimi uprawnieniami na dostęp do danych z innych projektów w tym samym zespole. Luka ta umożliwia odczyt, wykonanie, tworzenie, aktualizację oraz usuwanie zestawów danych i żądań danych, do których atakujący nie powinien mieć dostępu.
- CVE-2026-40601Wysokie
W wersji 4.9.0 aplikacji Chartbrew występuje luka, która pozwala na dostęp do punktu końcowego POST /api/chart/:chart_id/query bez uwierzytelnienia. Atakujący, znając identyfikator wykresu, może odświeżyć dane i uzyskać dostęp do prywatnych wykresów.
- CVE-2026-40600Wysokie
W wersji 4.9.0 aplikacji Chartbrew, uwierzytelnieni użytkownicy mający dostęp do jednego projektu mogą aktualizować lub usuwać rekord SharePolicy należący do innego projektu. Problem wynika z braku weryfikacji, czy policy_id należy do danego projektu.
- CVE-2026-40595Wysokie
W wersji 4.9.0 aplikacji Chartbrew występuje luka, która pozwala na publiczny dostęp do danych wykresów, nawet jeśli są one ukryte. Luka ta wynika z niewłaściwej weryfikacji uprawnień dostępu do wykresów w projektach publicznych.
Oryginalny opis (angielski, źródło NVD)
Chartbrew is an open-source web application that can connect directly to databases and APIs and use the data to create charts. Prior to 5.2.3, the shared project permission check trusted a caller-controlled team_id and let the teamOwner/teamAdmin branch continue without confirming that the target project belonged to that team. The vulnerable surface is project routes and related authorization checks that accepted user-controlled project identifiers. An authenticated user who is an owner or admin of their own team submits a victim project id together with the attacker's own team_id in the request body; default self-signup grants the required role on the user's own team. Authorization is evaluated against the attacker-selected team instead of the target project's team, and the update path mass-assigns the request body without a project field allow-list. The attacker needs a valid Chartbrew account, an owner or admin role on their own team, and a victim project identifier; requests without the body team_id trick are rejected. The attacker can re-parent the victim project into their own team, gain full read and write access, expose it publicly, remove password protection, and cause the victim to lose it; the shared delete route also permits cross-tenant deletion. This issue is fixed in version 5.2.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS