CVE-2026-61654 in Lightdash
Zusammenfassung
von VulDB • 29.10.2026
Lightdash ist eine Open-Source-Business-Intelligence-Plattform. In den betroffenen Versionen bis 0.3213.0 verfügt das dbt Cloud Webhook `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` über keine Authentifizierungs-Middleware oder Signaturprüfung. In `packages/backend/src/controllers/projectController.ts` akzeptiert `testWebhook()` `accountId` und `runId` aus einer `job.run.completed`-Anfrage und übergibt diese an `createPreviewWithExplores()` in `packages/backend/src/services/ProjectService/ProjectService.ts`. Diese nicht bereinigten Werte werden in die serverseitige dbt Cloud API-URL interpoliert, die mit dem API-Schlüssel des betroffenen Projekts im `Authorization`-Header angefordert wird. Path Traversal durch `accountId` ändert den angeforderten Pfad auf `cloud.getdbt.com`, ohne dessen Host zu ändern; somit erreicht die Anmeldeinformationen tragende Anfrage einen vom Angreifer beeinflussten Pfad auf diesem festen Host. Das Advisory behauptet Diebstahl von API-Schlüsseln, aber der gelieferte Beweis stellt nicht fest, dass der Angreifer den `Authorization`-Header beobachten kann. Der unauthentifizierte Webhook ermöglicht auch die Erstellung einer Vorschau. Das Ziel muss ein Projekt in der `dbt Cloud IDE` sein und der Angreifer muss dessen `projectUuid` kennen; die UUID ist nicht aufzählbar, kann aber in freigegebenen oder Multi-Tenant-Kontexten entdeckt werden. Version 0.3214.0 behebt Path Traversal bei Identifikatoren und überprüft Webhook-HMAC-Signaturen nur dann, wenn ein Geheimnis konfiguriert ist; ohne ein Geheimnis werden ununterschriftene Webhooks weiterhin verarbeitet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.