OpenPanel: SQL-Injection über profile.values ermöglicht mandantenübergreifenden Datenzugriff
Zusammenfassung
OpenPanel vor Version 3.0.0 enthält eine SQL-Injection in der Abfrage profile.values. Die vom Benutzer gelieferte Property wird ungefiltert als SELECT-Ausdruck in ClickHouse eingesetzt. Ein authentifizierter Benutzer kann eigene FROM- und WHERE-Klauseln anhängen und so Profile, Events und Sessions anderer Projekte auf derselben Instanz lesen. Der CVSS-Vektor setzt hohe Privilegien voraus, während das Advisory von einem beliebigen authentifizierten Benutzer spricht; die genaue Voraussetzung ist im GitHub-Advisory zu bestätigen.
Betroffen
- OpenPanel-Versionen 0 bis vor 3.0.0 (Openpanel-dev/openpanel)
Behoben in
- Auf OpenPanel 3.0.0 oder neuer aktualisieren.
- Upstream-Fix: Commit a2aa053cb23e92967e812d3be5fb0f1d606d9fdc
Umgehung
- Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme.
- Bis zum Update: Anmeldekonten auf vertrauenswürdige Benutzer beschränken, nicht benötigte Konten entfernen und die Instanz nicht für nicht vertrauenswürdige Benutzer erreichbar machen.
Ausnutzung
- In den geprüften Quellen gibt es keine Hinweise auf eine Ausnutzung in freier Wildbahn.
- Es wurde kein öffentlicher Exploit-Code und kein Metasploit-Modul gefunden.
- Laut einer Quelle ist die Lücke nicht im CISA KEV gelistet; dies wurde nicht auf der CISA-Website überprüft.
Unsere Empfehlung
- Alle OpenPanel-Instanzen auf 3.0.0 oder neuer aktualisieren; diese Version deckt auch die verwandten CVEs derselben Serie ab.
- Bis dahin Konten einschränken und das Dashboard nicht für nicht vertrauenswürdige Benutzer erreichbar machen.
- Prüfen, ob die Instanz zwischen Projekten, Kunden oder Abteilungen geteilt wird; das Risiko ist in diesem Fall höher.
- Zugriffsprotokolle auf ungewöhnliche profile.values-Anfragen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-4j6c-j6vc-xq96 github.com
- Upstream fix commit a2aa053 github.com
- VulnCheck advisory www.vulncheck.com
- OpenCVE CVE-2026-116808 app.opencve.io
- Strix CVE-2026-116808 www.strix.ai
- Offseq threat radar entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.