CVE-2026-92729

SigNoz w wersjach od v0.98.0 do v0.143.0, gdy skonfigurowany z nieprzezroczystym tokenizatorem sesji, nie odwołuje istniejących sesji logowania użytkownika po zresetowaniu hasła z tokenem resetowania lub po usunięciu użytkownika. Atakujący, który już posiada token sesji, zachowuje pełny dostęp do konta, aż do administratora, po zresetowaniu hasła przez maksymalny czas życia tokena (domyślnie 30 dni) i po usunięciu użytkownika do następnej rotacji tokena (domyślnie 30 minut).

SigNoz w wersjach od 0.8.0 przed 0.143.0 domyślnie ustawia sekret podpisywania tokenów JWT na pusty ciąg znaków, a walidacja konfiguracji nie odrzuca pustej wartości. Wdrożenie bez skonfigurowanego sekretu podpisuje i weryfikuje tokeny sesji pustym kluczem HMAC, co pozwala nieuwierzytelnionemu atakującemu sfałszować token sesji dla dowolnego użytkownika, w tym administratora.

SigNoz w wersjach od 0.87.0 do przed 0.142.0 nie zabezpiecza nazw pól telemetrycznych dostarczanych przez użytkownika w API v5 query_range, co pozwala uwierzytelnionym użytkownikom na wstrzyknięcie SQL. Atakujący z rolą Viewer lub wyższą mogą osadzić backticki i cudzysłowy w nazwach pól, aby wyrwać się z identyfikatorów i literałów łańcuchowych, wykonując dowolny SQL ClickHouse w celu odczytania tabel systemowych i eksfiltracji danych.

SigNoz w wersjach od 0.88.0 przed 0.142.1 zawiera podatność wstrzyknięcia SQL w endpointach analityki trace-funnel, które wstawiają pola service_name i span_name do literałów tekstowych ClickHouse bez escapowania. Uwierzytelniony atakujący może wstrzyknąć SQL poprzez definicje kroków lejka, aby wykonać dowolne zapytania i odczytać wyniki w odpowiedziach HTTP.

Podatność open redirect w SigNoz przed wersją 0.134.0 w przepływie uwierzytelniania SSO. Nieuwierzytelniony atakujący może ukraść tokeny sesji od użytkowników w instancjach skonfigurowanych z Google OAuth, SAML lub OIDC.

Podatność w SigNoz przed wersją 0.133.0 umożliwia uwierzytelnionym użytkownikom dostęp do reguł alertów innych organizacji poprzez podanie docelowego UUID reguły. Brak filtrowania po identyfikatorze organizacji w magazynie reguł alertów powoduje obejście kontroli dostępu.

Podatność SQL injection w SigNoz do wersji 0.130.1 umożliwia uwierzytelnionym atakującym wykonanie dowolnych zapytań ClickHouse poprzez wstrzyknięcie zakodowanych w URL cudzysłowów do parametru identyfikatora reguły w endpointach historii alertów. Atakujący mogą odczytać wszystkie przechowywane trace'e, logi i metryki lub wykorzystać funkcję url() do fałszowania żądań po stronie serwera (SSRF).