CVE-2026-116808：OpenPanel 3.0 之前版本 SQL 注入可跨租戶讀取資料
CVE-2026-116808 - OpenPanel before 3.0.0 ClickHouse SQL Injection via profile.values
CVE-2026-116808 影響 OpenPanel 3.0 之前版本，允許授權使用者透過 crafted property 引數於 profile.values 執行 SQL 注入，跨租戶讀取其他專案的 profiles、events 與 sessions。
此漏洞揭示 OpenPanel 3.0 之前版本易被授權使用者利用 SQL 注入跨租戶讀取資料，提示即時升級以防止資料外洩。
譯文尚未完整，完整內容請切換至原文。
OpenPanel 3.0.0 之前存在 SQL 注入漏洞，允許已驗證使用者透過提供自訂 property 引數到 profile.values 讀取跨租戶資料。攻擊者可注入 SELECT 表示式，搭配自訂 FROM/WHERE 子句，並註解掉 project_id 範圍，以竊取其他專案的個人資料、事件與會話。
影響
受影響產品
以下產品受CVE-2026-116808漏洞影響。
即使cvefeed.io知道受影響產品的精確版本，資訊仍未在下表中呈現。
| ID | 供應商 | 產品 | 行動 |
|---|---|---|---|
| 1 | Openpanel | openpanel |
Common Vulnerability Scoring System（CVSS）是一套標準化框架 用於評估軟體與系統漏洞嚴重度。 我們收集並顯示各來源的 CVSS 分數，針對每個 CVE。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 3.1 | 高 | [email protected] | ||||
| CVSS 4.0 | 高 | 83251b91-4cc7-4094-a5c7-464a1b83ea10 | ||||
| CVSS 4.0 | 高 | [email protected] |
升級 OpenPanel 至 3.0.0 或更新版本以修補 SQL 注入漏洞。
- 升級 OpenPanel 至 3.0.0 或更新版本。
- 立即套用供應商修補程式。
- 檢閱個人資料的存取控制。
- 對所有使用者輸入進行消毒。
在此，您將找到一份精選外部連結，提供關於CVE-2026-116808的深入資訊、實用解決方案及有價值工具。
雖然 CVE 確定漏洞的具體例項，CWE 則將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-116808 與以下 CWEs 相關:
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，這些模式描述了對手利用 CVE-2026-116808 弱點所採用的常見屬性和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）漏洞利用。以下清單為已發布於 GitHub 的公開漏洞利用和概念驗證（按最近更新時間排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下清單列出文章中提及 CVE-2026-116808 漏洞的新聞。
以下表格列出 CVE-2026-116808 漏洞隨時間所做的變更。
漏洞歷史細節有助於瞭解漏洞的演變，並識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。
-
新 CVE 收到 由 [email protected]
十月. 27, 2026
動作 型別 舊值 新值 新增 說明 OpenPanel 3.0.0 之前的版本包含一個 SQL 注入漏洞，允許已驗證使用者透過向 profile.values 傳遞自訂屬性引數來讀取跨租戶資料。攻擊者可注入帶有自訂 FROM/WHERE 子句的 SELECT 表示式，並註解掉 project_id 範圍，以竊取其他專案的檔案、事件與會話。 新增 CVSS V4.0 AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CVSS V3.1 AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H 新增 CWE CWE-89 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/116xxx/CVE-2026-116808.json">CVE-2026-116808</a> 新增 參考 https://github.com/Openpanel-dev/openpanel/commit/a2aa053cb23e92967e812d3be5fb0f1d606d9fdc 新增 參考 https://github.com/Openpanel-dev/openpanel/security/advisories/GHSA-4j6c-j6vc-xq96 新增 參考 https://www.vulncheck.com/advisories/openpanel-before-3.0.0-clickhouse-sql-injection-via-profile-values
EPSS 是對未來 30 天內可能被觀測到的利用活動機率的每日估計。 在未來 30 天內被觀測到。以下圖表顯示 EPSS。 分數歷史。