Injeção SQL sem autenticação no OpenPanel deixa qualquer um ler os dados de todos os clientes

O OpenPanel, plataforma de analytics open source em que muitos times confiam seus dados de produto, está carregando uma falha que não exige nenhuma credencial para ser explorada. A CVE-2026-116818 é uma injeção SQL no ClickHouse, sem autenticação, entregue pelo parâmetro projectId do WebSocket /live/visitors/:projectId, um endpoint que simplesmente não verifica sessão nem acesso ao projeto. Sem login. Sem token. Apenas uma requisição montada.

A partir daí, atacantes conseguem encadear consultas UNION ou oráculos de contagem booleana para extrair eventos e perfis de outros clientes direto do banco. E não é só gente de fora: membros de projeto com permissões limitadas podem injetar pelos valores de período em cohort.preview e sair com os mesmos dados entre tenants.

A correção é direta e obrigatória: atualize para o OpenPanel 3.0.0 ou superior e depois audite quem realmente tem permissão de escrita nos seus projetos. Essa é apenas uma de uma leva de falhas divulgadas contra a plataforma de uma só vez, e é a de maior alcance. Se o seu time trafega dados de clientes por redes não confiáveis, colocar uma camada de VPN robusta embaixo é seguro barato, e a nossa indicação de ProtonVPN é um bom ponto de partida.