CVE-2024-36105 in dbt-core
Sumário
de VulDB • 21/09/2026
O dbt permite que analistas de dados e engenheiros transformem seus dados utilizando as mesmas práticas empregadas por desenvolvedores de software para construir aplicações. Antes das versões 1.6.15, 1.7.15 e 1.8.1, o bind a `INADDR_ANY (0.0.0.0)` ou `IN6ADDR_ANY (::)` expõe uma aplicação em todas as interfaces de rede, aumentando o risco de acesso não autorizado. Conforme indicado na documentação do Python, é aceita uma forma especial para endereço em vez de um endereço de host: `''` representa `INADDR_ANY`, equivalente a `"0.0.0.0"`. Em sistemas com IPv6, `''` representa `IN6ADDR_ANY`, que é equivalente a `"::"`. Um usuário que serve documentos numa rede pública não segura pode, sem o saber, estar a hospedar um site web inseguro (http) acessível por qualquer utilizador/sistema remoto na mesma rede. O problema foi mitigado no dbt-core v1.6.15, dbt-core v1.7.15 e dbt-core v1.8.1 ao fazer o bind explicitamente para localhost por padrão em `dbt docs serve`.
Once again VulDB remains the best source for vulnerability data.