Chartbrew Cross-Tenant Template Export en Secret Disclosure in `GET /team/:team_id/template/generate/:project_id`

CVE-2026-32252 treft Chartbrew, een open-source webapplicatie voor het maken van grafieken uit database- en API-gegevens. De kwetsbaarheid, beoordeeld met een CVSS-score van 7,7, is een cross-tenant autorisatie-omzeiling. Dit betekent dat een geauthenticeerde aanvaller toegang kan krijgen tot projecten die behoren tot andere gebruikers of teams zonder de juiste autorisatie. Specifiek ligt de kwetsbaarheid in de route /team/:teamid/template/generate/:projectid waar het systeem niet correct verifieert of de opgegeven projectid behoort tot de gespecificeerde teamid of tot het team van de aanroeper. Het niet afwachten van de promise die door checkAccess wordt geretourneerd, verergert het probleem, waardoor toegangscontroles kunnen worden omzeild. De potentiële impact omvat het bekijken, wijzigen of zelfs verwijderen van gevoelige gegevens die behoren tot andere gebruikers, waardoor vertrouwelijkheid en integriteit in gevaar komen.

Organizations utilizing Chartbrew for data visualization and reporting, particularly those with multiple teams or users sharing access to the application, are at risk. Environments with relaxed access control policies or where template generation permissions are broadly granted are especially vulnerable.

• nodejs / server:

# Check for Chartbrew processes and versions
ps aux | grep chartbrew

• generic web:

# Check access logs for suspicious requests to /team/:team_id/template/generate/:project_id
grep '/team/[0-9]+/template/generate/' /var/log/apache2/access.log

1. 2026-04-10Disclosure

   disclosure

1. Gereserveerd2026-03-11
2. Gepubliceerd2026-04-10
3. Gewijzigd2026-04-13
4. EPSS bijgewerkt2026-04-18

De oplossing voor CVE-2026-32252 is het updaten van Chartbrew naar versie 4.9.0 of hoger. Deze versie corrigeert de kwetsbaarheid door een correcte verificatie van de toewijding van de projectid aan de juiste teamid te implementeren. Terwijl u wacht op de update, wordt aanbevolen om de toegang tot de route /team/:teamid/template/generate/:projectid te beperken tot geautoriseerde gebruikers met minimale privileges. Bewaak bovendien de applicatielogboeken op verdachte activiteiten die verband houden met sjabloongeneratie, wat een poging tot exploitatie kan signaleren. Het implementeren van deze mitigerende maatregelen is cruciaal om het risico van ongeautoriseerde toegang tot gegevens te verminderen.