Chartbrew のクロステナントテンプレートエクスポートと `GET /team/:team_id/template/generate/:project_id` におけるシークレットの開示

CVE-2026-32252 は、データベースや API からデータを取得してグラフを作成できるオープンソースの Web アプリケーションである Chartbrew に影響を与えます。この脆弱性は CVSS スコア 7.7 で評価されており、テナント間認証バイパスです。つまり、認証された攻撃者は適切な認証なしに、他のユーザーまたはチームが所有するプロジェクトにアクセスできます。具体的には、この脆弱性は /team/:teamid/template/generate/:projectid ルートに存在し、システムは提供された projectid が指定された teamid または呼び出し元のチームに属しているかどうかを正しく検証しません。checkAccess によって返されるプロミスを待機しないことは、問題を悪化させ、アクセス制御を回避することを可能にします。潜在的な影響には、他のユーザーが所有する機密データを表示、変更、または削除することが含まれ、機密性と整合性が損なわれる可能性があります。

Organizations utilizing Chartbrew for data visualization and reporting, particularly those with multiple teams or users sharing access to the application, are at risk. Environments with relaxed access control policies or where template generation permissions are broadly granted are especially vulnerable.

• nodejs / server:

# Check for Chartbrew processes and versions
ps aux | grep chartbrew

• generic web:

# Check access logs for suspicious requests to /team/:team_id/template/generate/:project_id
grep '/team/[0-9]+/template/generate/' /var/log/apache2/access.log

1. 2026-04-10Disclosure

   disclosure

1. 予約済み2026-03-11
2. 公開日2026-04-10
3. 更新日2026-04-13
4. EPSS 更新日2026-04-18

CVE-2026-32252 の解決策は、Chartbrew をバージョン 4.9.0 以降に更新することです。このバージョンは、projectid が正しい teamid に属していることを適切に検証することで、この脆弱性を修正します。更新を待っている間、/team/:teamid/template/generate/:projectid ルートへのアクセスを最小限の特権を持つ承認されたユーザーに制限することをお勧めします。さらに、テンプレート生成に関連するアプリケーションログで疑わしいアクティビティを監視し、exploit 試行を示す可能性があります。これらの軽減策を実装することは、データへの不正アクセスリスクを軽減するために不可欠です。