CVE-2026-61576 in Lightdash
요약
\~에 의해 VulDB • 2026. 10. 29.
Lightdash는 오픈 소스 비즈니스 인텔리전스 플랫폼입니다. 영향을 받는 버전(최대 0.3213.0)에서 dbt Cloud 웹훅 `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook`에는 인증 미들웨어나 서명 검증이 없습니다. `packages/backend/src/controllers/projectController.ts`의 `testWebhook()` 함수는 `job.run.completed` 요청으로부터 `accountId`와 `runId`를 받아들이고 이를 `packages/backend/src/services/ProjectService/ProjectService.ts`의 `createPreviewWithExplores()`로 전달합니다. 이러한 비검증 값은 서버 측 dbt Cloud API URL에 삽입되며, 이 URL은 피해자 프로젝트의 API 키가 포함된 `Authorization` 헤더를 사용하여 요청됩니다. `accountId`를 통한 경로 트래버설(Path Traversal)은 호스트는 변경하지 않고 `cloud.getdbt.com` 상에서 요청된 경로를 변경하므로, 자격 증명이 담긴 요청이 공격자가 영향력을 행사한 해당 고정 호스트의 경로로 도달합니다. 권고사항에서는 API 키 도난을 주장하지만, 제공된 증거로는 공격자가 `Authorization` 헤더를 관찰할 수 있음을 입증하지 못했습니다. 또한 비인증 웹훅은 미리보기 생성도 허용합니다. 대상은 `dbt Cloud IDE` 프로젝트여야 하며, 공격자는 해당 프로젝트의 `projectUuid`를 알아야 합니다. UUID는 열거 불가능하지만 공유 또는 다중 테넌트 컨텍스트에서 발견될 수 있습니다. 버전 0.3214.0에서는 식별자 경로 트래버설이 수정되었으며, 시크릿(secret)이 구성된 경우에만 웹훅 HMAC 서명이 검증됩니다. 시크릿이 없는 경우 부호화되지 않은 웹훅은 계속 처리됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.