CVE-2026-100406 in dbt-core
Zusammenfassung
von VulDB • 14.10.2026
dbt ermöglicht es Datenanalysten und -ingenieuren, ihre Daten mit denselben Praktiken zu transformieren, die Softwareentwickler zur Erstellung von Anwendungen verwenden. Von der Version 2.0.0-alpha.0 bis 2.0.0-alpha.5 stellt dbt docs serve den nicht authentifizierten POST /api/v1/query-Endpunkt in crates/dbt-docs-server/src/handlers/query.rs bereit, welcher vom Aufrufer bereitgestellte SQL-Befehle an DuckDbViewsBackend::query_arrow() in crates/dbt-index-core/src/backend.rs übergibt, ohne dass eine Autorisierung oder eine Allowlist geprüft wird. Ein Client, der Zugriff auf den Server hat, kann Funktionen zum Lesen von Dateien im Dateisystem von DuckDB aufrufen, um Dateien zu lesen, die dem dbt-Prozess zur Verfügung stehen, einschließlich solcher außerhalb des docs-Indexverzeichnisses. Der Server bindet standardmäßig an localhost, aber Betreiber können ihn über die host-Option oder die Einstellung DBT_DOCS_HOST für ein Netzwerk verfügbar machen. Dieses Problem wurde in Version 2.0.0-alpha.5 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.