Chartbrew 在 `GET /team/:team_id/template/generate/:project_id` 中存在跨租户模板导出和密钥泄露

CVE-2026-32252 影响 Chartbrew，这是一款用于从数据库和 API 数据创建图表的开源 Web 应用程序。该漏洞的 CVSS 评分为 7.7，属于跨租户授权绕过。这意味着经过身份验证的攻击者可以在没有适当授权的情况下访问其他用户或团队拥有的项目。具体而言，该漏洞存在于 /team/:teamid/template/generate/:projectid 路由中，系统未能正确验证提供的 projectid 是否属于指定的 teamid 或调用方的团队。未能等待 checkAccess 返回的 Promise 会加剧问题，从而允许绕过访问控制检查。潜在影响包括查看、修改或删除其他用户拥有的敏感数据，从而损害机密性和完整性。

Organizations utilizing Chartbrew for data visualization and reporting, particularly those with multiple teams or users sharing access to the application, are at risk. Environments with relaxed access control policies or where template generation permissions are broadly granted are especially vulnerable.

• nodejs / server:

# Check for Chartbrew processes and versions
ps aux | grep chartbrew

• generic web:

# Check access logs for suspicious requests to /team/:team_id/template/generate/:project_id
grep '/team/[0-9]+/template/generate/' /var/log/apache2/access.log

1. 2026-04-10Disclosure

   disclosure

1. 已保留2026-03-11
2. 发布日期2026-04-10
3. 修改日期2026-04-13
4. EPSS 更新日期2026-04-18

解决 CVE-2026-32252 的方法是将 Chartbrew 更新到 4.9.0 或更高版本。此版本通过实施对 projectid 属于正确 teamid 的适当验证来修复该漏洞。在等待更新期间，建议限制对 /team/:teamid/template/generate/:projectid 路由的访问，仅允许具有最小权限的授权用户。此外，请监控应用程序日志中与模板生成相关的可疑活动，这可能表明存在利用尝试。实施这些缓解措施对于降低对数据的未经授权访问的风险至关重要。