https://alertas.dupin.com.ar/fabricante/chartbrew/Alertas de vulnerabilidades de chartbrew.esSat, 07 Nov 2026 00:24:51 +000010https://alertas.dupin.com.ar/cve/CVE-2026-68935/tg:63837Sat, 07 Nov 2026 00:24:51 +0000VulnerabilidadEn Chartbrew 4.8.5 a 5.2.2, las operaciones de creación y actualización de conexiones API aceptan el campo interno allowPrivateHost desde la entrada del usuario. Un usuario autenticado con permiso para gestionar conexiones API puede habilitarlo para eludir las restricciones de destinos de red privada y reservada; una migración de actualización también lo habilita en conexiones existentes. La configuración por conexión tiene prioridad sobre CB_ALLOW_PRIVATE_NETWORK_CALLS, por lo que deshabilitar esa opción de…https://alertas.dupin.com.ar/cve/CVE-2026-68933/tg:63836Sat, 07 Nov 2026 00:24:50 +0000VulnerabilidadAntes de 5.2.3, Chartbrew almacenaba en texto plano las contraseñas de paneles públicos, las aceptaba mediante un parámetro de URL y las validaba sin limitación efectiva de intentos. Un atacante no autenticado puede probar contraseñas de forma ilimitada contra un panel público protegido, u obtener las contraseñas desde registros del servidor o de proxy. Los intentos fallidos revelan la cantidad de gráficos y la configuración sin la contraseña; una contraseña recuperada otorga acceso al panel.https://alertas.dupin.com.ar/cve/CVE-2026-85736/tg:63820Fri, 06 Nov 2026 22:44:24 +0000VulnerabilidadAl crear o actualizar una conexión se almacenan rutas absolutas SSL y SSH elegidas por el atacante, y la limpieza posterior las pasa a fs.unlink sin restricción de ruta. Un usuario con permisos createOwn y deleteOwn en su equipo puede almacenar una ruta objetivo y luego eliminar la conexión para borrar el archivo referenciado. Corregido en la versión 5.2.3.https://alertas.dupin.com.ar/cve/CVE-2026-85726/tg:63819Fri, 06 Nov 2026 22:44:24 +0000VulnerabilidadUna variable MongoDB de tipo fecha dentro de un placeholder entre comillas se inserta como cadena sin escapar, a diferencia de las ramas de cadena, número y booleano. Un usuario no autenticado puede enviar un filtro manipulado a un gráfico público, compartible o embebido con MongoDB y alterar la lógica de la consulta, usando el conteo de filas como oráculo booleano para extraer campos. Corregido en la versión 5.2.3.https://alertas.dupin.com.ar/cve/CVE-2026-85712/tg:63818Fri, 06 Nov 2026 22:44:20 +0000VulnerabilidadLa verificación de permisos de proyectos confiaba en un team_id controlado por el llamador y la rama teamOwner/teamAdmin continuaba sin confirmar que el proyecto perteneciera a ese equipo. Un usuario autenticado owner o admin de su propio equipo envía el id de un proyecto víctima junto con su team_id y la actualización aplica mass-assignment sin lista de campos permitidos. Corregido en la versión 5.2.3.https://alertas.dupin.com.ar/cve/CVE-2026-85708/tg:63817Fri, 06 Nov 2026 22:44:19 +0000VulnerabilidadLos tokens de compartir y embeber gráficos se firmaban con CB_SECRET, incluidos valores conocidos o por defecto en instalaciones estándar y con Docker Compose. Quien conozca el secreto puede falsificar un token Chart para un gráfico privado que tenga una fila de política de compartir y acceder a la ruta de filtros, que acepta ids enteros secuenciales. Corregido en la versión 5.2.3.https://alertas.dupin.com.ar/cve/CVE-2026-86005/tg:63816Fri, 06 Nov 2026 22:44:18 +0000VulnerabilidadEl panel administrativo Bull Board/BullMQ en /apps/queues se montaba sin verificación de autenticación y confiaba en la alcanzabilidad de red como autorización. Un atacante remoto no autenticado puede acceder a la interfaz de gestión de colas e inspeccionar payloads y logs de trabajos, con acciones adicionales según la versión de Bull Board y el estado de las colas. Corregido en la versión 5.2.3.https://alertas.dupin.com.ar/cve/CVE-2026-69128/tg:63815Fri, 06 Nov 2026 22:44:18 +0000VulnerabilidadEn 5.2.2, la lista de bloqueo SQL de la herramienta de IA omitía funciones de sistema de archivos de PostgreSQL hermanas y no detectaba formas de identificadores entre comillas dobles. Un Owner o Admin de equipo con una conexión PostgreSQL habilitada para IA y un rol que pueda llamar funciones de archivos del servidor puede leer archivos absolutos. Corregido en la versión 5.2.3.