CVE-2026-61576
Résumé
par VulDB • 29/10/2026
Lightdash est une plateforme de business intelligence open source. Dans les versions concernées jusqu'à la 0.3213.0, le point de terminaison webhook dbt Cloud `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` ne dispose ni de middleware d'authentification ni de validation des signatures. Dans `packages/backend/src/controllers/projectController.ts`, la fonction `testWebhook()` accepte les paramètres `accountId` et `runId` provenant d'une requête `job.run.completed` et les transmet à `createPreviewWithExplores()` dans `packages/backend/src/services/ProjectService/ProjectService.ts`. Ces valeurs non assainies sont interpolées dans l'URL de l'API dbt Cloud côté serveur, qui est ensuite interrogée en utilisant la clé API du projet victime dans l'en-tête `Authorization`. Une traversée de chemin via le paramètre `accountId` modifie le chemin demandé sur `cloud.getdbt.com` sans changer son hôte, permettant ainsi à la requête portant les identifiants d'atteindre un chemin influencé par l'attaquant sur cet hôte fixe. L'avis de sécurité évoque un vol de clé API, mais les preuves fournies n'établissent pas que l'attaquant peut observer l'en-tête `Authorization`. Le webhook non authentifié permet également la création d'un aperçu (preview). La cible doit être un projet dbt Cloud IDE et l'attaquant doit connaître son `projectUuid` ; cet UUID n'est pas énumérable mais peut être découvert dans des contextes partagés ou multi-locataires. La version 0.3214.0 corrige la traversée de chemin par identifiant et vérifie les signatures HMAC des webhooks uniquement lorsqu'un secret est configuré ; en l'absence de secret, les webhooks non signés continuent d'être traités.
If you want to get best quality of vulnerability data, you may have to visit VulDB.