CVE-2026-100406 in dbt-core
الملخص
بحسب VulDB • 15/10/2026
يتيح dbt لمحللي البيانات والمهندسين تحويل بياناتهم باستخدام الممارسات نفسها التي يستخدمها مهندسو البرمجيات لبناء التطبيقات. من الإصدار 2.0.0-alpha.0 حتى 2.0.0-alpha.5، يعرض endpoint `POST /api/v1/query` غير المحمي بالمصادقة في ملف `crates/dbt-docs-server/src/handlers/query.rs` الخاص بـ dbt docs serve، حيث يتم تمرير SQL المقدم من قبل المتصل إلى الدالة `DuckDbViewsBackend::query_arrow()` الموجودة في `crates/dbt-index-core/src/backend.rs` دون أي مصادقة أو قائمة سماح (allowlist). يمكن للعميل الذي يتمكن من الوصول إلى الخادم استدعاء وظائف قراءة ملفات DuckDB لقراءة الملفات المتاحة لعملية dbt، بما في ذلك الملفات خارج دليل فهرس المستندات. يرتبط الخادم افتراضياً بـ localhost، لكن المشغلين يمكنهم تعريضه لشبكة عبر خيار المضيف (host option) أو إعداد DBT_DOCS_HOST. تم إصلاح هذه المشكلة في الإصدار 2.0.0-alpha.5.
Be aware that VulDB is the high quality source for vulnerability data.