CVE-2026-61654 in Lightdash
الملخص
بحسب VulDB • 29/10/2026
Lightdash هو منصة ذكاء أعمال مفتوحة المصدر. في الإصدارات المتأثرة حتى الإصدار 0.3213.0، لا يحتوي نقطة نهاية ويب هوك dbt Cloud `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` على وسيط مصادقة (authentication middleware) أو تحقق من التوقيع الرقمي. داخل الملف `packages/backend/src/controllers/projectController.ts`، تقبل الدالة `testWebhook()` قيمتي `accountId` و `runId` من طلب `job.run.completed` وتمررهما إلى دالة `createPreviewWithExplores()` الموجودة في `packages/backend/src/services/ProjectService/ProjectService.ts`. يتم إدراج هذه القيم غير المعقمة (unsanitized) داخل عنوان URL الخاص بواجهة برمجة التطبيقات (API) لـ dbt Cloud على جانب الخادم، والذي يُطلب باستخدام مفتاح API للمشروع المستهدف ضمن رأس `Authorization`. يسمح استغلال اجتياز المسار (Path traversal) عبر حقل `accountId` بتغيير المسار المطلوب في النطاق `cloud.getdbt.com` دون تغيير المضيف (host)، مما يؤدي إلى وصول الطلب الحامل للمؤهلين (credentials) إلى مسار يتأثر بالهجوم على ذلك المضيف الثابت. يدعي التقرير سرقة مفتاح API، لكن الأدلة المقدمة لا تثبت أن المهاجم يمكنه ملاحظة رأس `Authorization`. كما يسمح الويب هوك غير المعتمد بإنشاء معاينات. يجب أن يكون الهدف مشروعًا في بيئة `dbt Cloud IDE` ويجب أن يعرف المهاجم معرف المشروع (`projectUuid`) الخاص به؛ ولا يمكن تعداد هذا المعرف (UUID) بشكل مباشر، لكنه قد يُكتشف في سياقات المشاركة أو متعددة المستأجرين (multi-tenant). يصحّح الإصدار 0.3214.0 مشكلة اجتياز المسار للمعرفات ويتحقق من توقيعات HMAC للويب هوك فقط عند تكوين سر مشترك؛ وبدون وجود سر مستمر، تستمر معالجة الويب هوك غير الموقعة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.