CVE-2026-61654 in Lightdash
Riassunto
di VulDB • 29/10/2026
Lightdash è una piattaforma di business intelligence open source. Nelle versioni interessate fino alla 0.3213.0, il webhook dbt Cloud `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` non dispone di middleware di autenticazione né di validazione della firma. In `packages/backend/src/controllers/projectController.ts`, la funzione `testWebhook()` accetta i valori `accountId` e `runId` da una richiesta `job.run.completed` e li passa a `createPreviewWithExplores()` in `packages/backend/src/services/ProjectService/ProjectService.ts`. Questi valori non sanizzati vengono interpolati nell'URL dell'API dbt Cloud lato server, che viene richiesto utilizzando la chiave API del progetto vittima nell'intestazione `Authorization`. La path traversal attraverso `accountId` modifica il percorso richiesto su `cloud.getdbt.com` senza alterarne l'host, consentendo alla richiesta contenente le credenziali di raggiungere un percorso influenzato dall'attaccante su tale host fisso. L'avviso segnala il furto della chiave API, ma le prove fornite non dimostrano che l'attaccante possa osservare l'intestazione `Authorization`. Il webhook non autenticato consente inoltre la creazione di anteprime. Il target deve essere un progetto dell'IDE dbt Cloud e l'attaccante deve conoscere il suo `projectUuid`; tale UUID non è enumerabile ma può essere scoperto in contesti condivisi o multi-tenant. La versione 0.3214.0 risolve la path traversal degli identificatori e verifica le firme HMAC dei webhook solo quando un segreto (secret) è configurato; senza un secret, i webhook non firmati continuano a essere elaborati.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.