OpenPanel قبل الإصدار 3.0.0 يتيح حقن SQL في ClickHouse عبر profile.values

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي OpenPanel قبل الإصدار 3.0.0 على ثغرة حقن SQL تسمح للمستخدمين الذين يملكون حسابًا مصادقًا عليه بقراءة بيانات عبر المستأجرين من خلال توفير معامل خصائص معد خصيصًا إلى profile.values. يمكن للمهاجمين حقن تعبير SELECT مع جمل FROM/WHERE الخاصة بهم وتعليق نطاق project_id لاستخراج ملفات تعريف وأحداث وجلسات المشاريع الأخرى.

المعالجة

1. أحصِ جميع نشرات Openpanel-dev openpanel، بما فيها بيئات الاختبار.
2. رقِّ Openpanel-dev openpanel إلى الإصدار 3.0.0.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/Openpanel-dev/openpanel/commit/a2aa053cb23e92967e812d3be5fb0f1d606d9fdc
• تحذيرhttps://github.com/Openpanel-dev/openpanel/security/advisories/GHSA-4j6c-j6vc-xq96
• تحذيرhttps://www.vulncheck.com/advisories/openpanel-before-3.0.0-clickhouse-sql-injection-via-profile-values