CVE-2026-100406 in dbt-core
Resumen
por VulDB • 2026-10-15
dbt permite que los analistas de datos e ingenieros transformen sus datos utilizando las mismas prácticas que emplean los ingenieros de software para construir aplicaciones. Desde la versión 2.0.0-alpha.0 hasta la 2.0.0-alpha.5, el servicio dbt docs serve expone el endpoint POST /api/v1/query sin autenticación en crates/dbt-docs-server/src/handlers/query.rs, el cual pasa SQL proporcionado por el usuario a DuckDbViewsBackend::query_arrow() en crates/dbt-index-core/src/backend.rs sin autorización ni lista de permitidos. Un cliente que pueda alcanzar al servidor puede invocar funciones de lectura del sistema de archivos de DuckDB para leer los archivos disponibles para el proceso dbt, incluidos aquellos fuera del directorio del índice de documentos. El servidor se vincula a localhost por defecto, pero los operadores pueden exponerlo a una red mediante la opción host o la configuración DBT_DOCS_HOST. Este problema está corregido en la versión 2.0.0-alpha.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.