PT-2026-32028 · Chartbrew · Chartbrew

Kakeru-Ishii · Publicado 2026-04-10 · Atualizado 2026-04-10 · CVE-2026-32252

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions Chartbrew versões anteriores a 4.9.0

Description Chartbrew é um aplicativo web que se conecta a bancos de dados e APIs para criar gráficos. Existe um bypass de autorização entre tenants no endpoint GET /team/:team id/template/generate/:project id. O handler chama checkAccess(req, "updateAny", "chart") sem aguardar a promise, e não verifica se o project id fornecido pertence ao time solicitante. Isso permite que um atacante autenticado com permissões de geração de template em seu próprio time solicite dados de template para um projeto pertencente a outro time e receba dados do projeto da vítima.

Recommendations Atualize para a versão 4.9.0 ou posterior.

Exploit

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2026-32252

Produtos afetados

Chartbrew

Referências · 5

• 🔥 https://github.com/chartbrew/chartbrew/security/advisories/GHSA-mw4f-cf22-qpcj · Exploit
• https://github.com/chartbrew/chartbrew/commit/bf5919043d3587fcbe76123aaabd9a0a9d1033f1 · Correção
• https://twitter.com/VulmonFeeds/status/2042733328772558958 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-32252 · Nota de Segurança
• https://twitter.com/CVEnew/status/2042710185731310073 · Publicação no Twitter