OpenPanelのWebhook実行制御と通知ルールに関する2件の重大なセキュリティ勧告を整理。
30秒でわかる / THE SIGNAL
OpenPanelのWebhook実行制御と通知ルールの機密情報秘匿に問題が報告された。
公開された2件
2026年10月11日に開発元は2件の勧告を公表した。CVE-2026-116811はWebhookのJavaScript検証不備で、書き込み権限を持つ利用者がワーカー内でコードを実行する恐れがある。CVE-2026-116819は閲覧権限を持つ利用者にSlackトークン等が露出する恐れがある。
影響バージョンと対応
CVE登録情報ではOpenPanel 3.0.0未満が影響対象、3.0.0は非影響とされる。一方、開発元GHSAの修正版欄は未指定のため、導入するリリースに修正が含まれることを確認する。権限を見直し、露出が疑われる連携認証情報を必要に応じ更新する。
悪用状況と一次情報
実環境での悪用は確認できていない。開発元勧告：https://github.com/Openpanel-dev/openpanel/security/advisories/GHSA-mc99-9jf5-22cq および https://github.com/Openpanel-dev/openpanel/security/advisories/GHSA-wfrw-rm3f-52x8