Plateforme
nodejs
Composant
chartbrew
Corrigé dans
4.9.1
Chartbrew, une application web open-source permettant de créer des graphiques à partir de bases de données et d'APIs, présente une vulnérabilité de contournement d'autorisation. Cette faille se situe dans la gestion des requêtes GET /team/:teamid/template/generate/:projectid et permet à un attaquant authentifié d'accéder aux modèles de projet d'autres équipes. La vulnérabilité concerne les versions de Chartbrew antérieures à la version 4.9.0. Une correction a été déployée dans la version 4.9.0.
CVE-2026-32252 affecte Chartbrew, une application web open source permettant de créer des graphiques à partir de données de bases de données et d'API. La vulnérabilité, notée avec un score CVSS de 7.7, est un contournement d'autorisation inter-locataires. Cela signifie qu'un attaquant authentifié peut accéder aux projets appartenant à d'autres utilisateurs ou équipes sans autorisation appropriée. Plus précisément, la vulnérabilité se situe dans la route /team/:teamid/template/generate/:projectid où le système ne vérifie pas correctement si le projectid fourni appartient au teamid spécifié ou à l'équipe de l'appelant. Le fait de ne pas attendre la promesse renvoyée par checkAccess aggrave le problème, permettant de contourner les contrôles d'accès. L'impact potentiel comprend la visualisation, la modification ou même la suppression de données sensibles appartenant à d'autres utilisateurs, compromettant la confidentialité et l'intégrité.
Un attaquant authentifié dans Chartbrew, mais non autorisé à accéder au projet spécifique, pourrait exploiter cette vulnérabilité. L'attaquant enverrait une requête GET à /team/:teamid/template/generate/:projectid, où teamid est l'ID d'une équipe à laquelle l'attaquant n'appartient pas et projectid est l'ID d'un projet au sein de cette équipe. En raison de la vérification inadéquate, le système générerait le modèle du projet, révélant potentiellement des informations sensibles ou permettant la manipulation des données. L'authentification préalable de l'attaquant est requise, mais l'absence de contrôles d'autorisation robustes permet de contourner les protections standard.
Organizations utilizing Chartbrew for data visualization and reporting, particularly those with multiple teams or users sharing access to the application, are at risk. Environments with relaxed access control policies or where template generation permissions are broadly granted are especially vulnerable.
• nodejs / server:
# Check for Chartbrew processes and versions
ps aux | grep chartbrew• generic web:
# Check access logs for suspicious requests to /team/:team_id/template/generate/:project_id
grep '/team/[0-9]+/template/generate/' /var/log/apache2/access.logdisclosure
Statut de l'Exploit
EPSS
0.03% (percentile 8%)
CISA SSVC
Vecteur CVSS
La solution à CVE-2026-32252 est de mettre à jour Chartbrew vers la version 4.9.0 ou supérieure. Cette version corrige la vulnérabilité en mettant en œuvre une vérification appropriée de l'appartenance du projectid au teamid correct. En attendant la mise à jour, il est recommandé de restreindre l'accès à la route /team/:teamid/template/generate/:projectid aux seuls utilisateurs autorisés disposant de privilèges minimaux. Surveillez également les journaux de l'application à la recherche d'activités suspectes liées à la génération de modèles, ce qui pourrait indiquer une tentative d'exploitation. La mise en œuvre de ces mesures d'atténuation est essentielle pour réduire le risque d'accès non autorisé aux données.
Actualice a la versión 4.9.0 o posterior para corregir la vulnerabilidad de bypass de autorización entre inquilinos. Esta actualización implementa una verificación adecuada para garantizar que los proyectos accedidos pertenezcan al equipo del solicitante, previniendo la exposición de datos de otros equipos.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
Cela signifie qu'un utilisateur peut accéder à des ressources (comme des projets) qui ne lui appartiennent pas au sein de différents 'locataires' ou équipes de l'application.
Restreignez l'accès à la route /team/:teamid/template/generate/:projectid et surveillez les journaux de l'application.
Non, il a seulement besoin d'être authentifié dans l'application.
Des données sensibles stockées dans les projets, telles que des informations sur les bases de données, les API et les configurations de graphiques.
Actuellement, il n'existe pas d'outils spécifiques, mais des tests d'intrusion et des audits de sécurité sont recommandés.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.