CVE-2026-61576 in Lightdash
要約
〜によって VulDB • 2026年10月29日
Lightdashはオープンソースのビジネスインテリジェンスプラットフォームです。影響を受けるバージョン（0.3213.0まで）では、dbt Cloudウェブフック `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` に認証ミドルウェアや署名検証がありません。`packages/backend/src/controllers/projectController.ts` の `testWebhook()` は、`job.run.completed` リクエストから `accountId` と `runId` を受け取り、それらを `packages/backend/src/services/ProjectService/ProjectService.ts` 内の `createPreviewWithExplores()` に渡します。これらのサニタイズされていない値はサーバーサイドのdbt Cloud API URLに挿入され、攻撃対象プロジェクトのAPIキーが `Authorization` ヘッダーに含まれてリクエストされます。`accountId` を介したパストラバーサルにより、ホストを変更せずに `cloud.getdbt.com` 上の要求されたパスが変更されるため、認証情報を含むリクエストは攻撃者が影響を与えたその固定ホスト上のパスに到達します。アドバイザリーではAPIキーの盗難を主張していますが、提供された証拠では攻撃者が `Authorization` ヘッダーを観察できることが証明されていません。この無認証ウェブフックによりプレビューの作成も可能です。対象となるのは `dbt Cloud IDE` プロジェクトであり、攻撃者はその `projectUuid` を知っている必要があります。UUIDは列挙可能ではありませんが、共有またはマルチテナントコンテキストで発見できます。バージョン 0.3214.0 は識別子のパストラバーサルを修正し、シークレットが設定されている場合にのみウェブフックのHMAC署名を検証します。シークレットがない場合、署名なしのウェブフックは引き続き処理されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.