Vulnerabilidad en openpanel de Openpanel-dev (CVE-2026-77768)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
21/08/2026
Última modificación:
16/10/2026
Descripción
El procedimiento 'report.get' en 'packages/trpc/src/routers/report.ts' aceptaba solo un 'reportId' y devolvía 'getReportById(reportId)' directamente. El middleware 'enforceAccess' en 'packages/trpc/src/trpc.ts' evalúa la membresía solo cuando la entrada contiene una clave 'projectId' u 'organizationId', por lo que una entrada que consistía únicamente en un 'reportId' pasaba sin ser verificada, y 'getReportById' en 'packages/db/src/services/reports.service.ts' realiza un 'findUnique' sobre el ID del informe sin alcance de proyecto. Cualquier usuario autenticado podía, por lo tanto, leer la configuración completa de cualquier informe guardado en la instancia, incluyendo el 'projectId' propietario, series de eventos, filtros, desgloses y fórmulas, al proporcionar su identificador. Los procedimientos adyacentes 'update', 'delete' y 'duplicate' resuelven el informe primero y verifican 'getProjectAccess' contra el 'projectId' propio del informe, por lo que la omisión era específica de este procedimiento.
Impacto
Puntuación base 4.0
7.10
Gravedad 4.0
ALTA
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Referencias a soluciones, herramientas e información
- https://github.com/Openpanel-dev/openpanel
- https://github.com/Openpanel-dev/openpanel/blob/e8a0602cda5a4d4b463f11d298a1b078c446bf33/packages/trpc/src/routers/report.ts
- https://github.com/Openpanel-dev/openpanel/commit/0a51b6805eed0b3da8376175acd5fa3d26819cb6
- https://github.com/Openpanel-dev/openpanel/security/advisories/GHSA-9x7c-f87x-2243
- https://www.vulncheck.com/advisories/openpanel-report-get-returns-any-report-by-identifier-without-checking-project-access
- https://github.com/Openpanel-dev/openpanel/security/advisories/GHSA-9x7c-f87x-2243