CVE-2026-88892

OpenPanel to platforma analityczna. We wszystkich wersjach (w momencie publikacji nie była dostępna żadna poprawiona wersja) importer danych pobiera adres URL dostarczony przez rozmówcę za pomocą zwykłego pobierania zamiast istniejącej w projekcie osłony SSRF (apps/api/src/utils/safe-fetch.ts). W package/importer/src/providers/umami.ts parseRemoteFile wywołuje fetch() na config.fileUrl, co jest sprawdzane tylko przez z.string().url(), więc akceptowane są wartości takie jak http://127.0.0.1:9911/ lub http://169.254.169.254/latest/meta-data/; udostępniona fabryka createFileImportConfig daje wiarygodnemu dostawcy to samo pole. Uwierzytelniony członek organizacji — w tym domyślny „członek” bez wierszy dostępu do projektu, dla którego zamierzone sprawdzenie poziomu dostępu zostało pominięte, ponieważ getProjectAccess zwraca wartość logiczną true zamiast obiektu poziomu — może zatem sprawić, że serwer połączy się z dowolnym adresem osiągalnym z niego. Wynikowy status HTTP i tekst statusu są utrwalane jako Import.errorMessage i zwracane przez import.get do tego samego użytkownika, zapewniając wyrocznię skanującą wewnętrzne hosty, porty i ścieżki; jeśli odpowiedź wewnętrzna zostanie przeanalizowana jako plik Umami CSV, jej wiersze zostaną przetworzone jako zdarzenia i staną się czytelne w widokach analitycznych osoby atakującej.