OpenPanel: SQL-Injection in ClickHouse-Abfragen über WebSocket für Live-Besucher
Zusammenfassung
OpenPanel vor 3.0.0 enthält eine SQL-Injection in ClickHouse-Abfragen. Der Parameter projectId des WebSockets /live/visitors/:projectId wird ungeprüft und ohne Escaping in SQL eingefügt, und der Endpunkt führt keine Session- oder Projektzugriffsprüfung durch. Ein nicht authentifizierter Angreifer aus dem Netz kann mit UNION- oder booleschen Zähltechniken Ereignisse und Profile anderer Mandanten auslesen. Projektmitglieder können zudem über Zeitraumwerte von cohort.preview SQL einschleusen.
Betroffen
- OpenPanel-Versionen vor 3.0.0 (CNA: betroffen 0 bis < 3.0.0)
Behoben in
- Auf OpenPanel 3.0.0 oder neuer aktualisieren (CNA-Daten und Patch-Commit des Herstellers nennen 3.0.0).
- Unklar: Eine Notiz der Maintainer besagt, dass der WebSocket für Live-Besucher weiterhin keine Session-Prüfung hat. Die Behebung ist deshalb nach dem Update zu verifizieren.
Umgehung
- Den Zugriff auf /live/visitors/* an einer Firewall oder einem API-Gateway auf vertrauenswürdige IP-Bereiche oder authentifizierte Clients beschränken, bis das Update verifiziert ist.
- Dies ist eine allgemeine Massnahme und kein offizieller Herstellerfix.
Ausnutzung
- CISA SSVC: Ausnutzung 'none', automatisierbar 'yes'.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Bei einer begrenzten Recherche wurden kein öffentlicher Proof of Concept und keine Berichte über Ausnutzung gefunden. Als 'bisher nichts bekannt' werten, nicht als bestätigt nicht vorhanden.
Unsere Empfehlung
- Prüfen, ob eine OpenPanel-Instanz aus dem Internet erreichbar ist. Bei Erreichbarkeit hat dies hohe Priorität.
- Auf 3.0.0 oder neuer aktualisieren und danach verifizieren, dass der WebSocket für Live-Besucher unauthentifizierte Zugriffe ablehnt.
- Den Endpunkt /live/visitors/* am Gateway einschränken, bis das Update verifiziert ist.
- ClickHouse- und Applikationslogs auf ungewöhnliche Anfragen an diesen Endpunkt prüfen.
- Prüfen, ob weitere OpenPanel-CVEs aus demselben Release-Paket zutreffen; für sie gilt ebenfalls 3.0.0 als Fix.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub patch commit 35ddc8e github.com
- GitHub Security Advisory GHSA-8wr9-x797-f238 github.com
- VulnCheck advisory www.vulncheck.com
- OpenPanel pull request 511 github.com
- OpenCVE CVE-2026-116818 app.opencve.io
- Strix CVE-2026-116818 www.strix.ai
- ThreatInt CVE-2026-116818 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:22.
Referenzen der NVD (3)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.