CVE-2026-61576 in Lightdash
Sumário
de VulDB • 30/10/2026
Lightdash é uma plataforma de inteligência de negócios open source. Nas versões afetadas até a 0.3213.0, o webhook do dbt Cloud `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` não possui middleware de autenticação nem validação de assinatura. Em `packages/backend/src/controllers/projectController.ts`, `testWebhook()` aceita `accountId` e `runId` a partir de uma solicitação `job.run.completed` e os passa para `createPreviewWithExplores()`, em `packages/backend/src/services/ProjectService/ProjectService.ts`. Esses valores não sanitizados são interpolados na URL da API do dbt Cloud no lado do servidor, que é solicitada com a chave de API do projeto vítima no cabeçalho `Authorization`. A traversia de caminho (path traversal) através de `accountId` altera o caminho solicitado em `cloud.getdbt.com` sem alterar seu host, fazendo com que a solicitação contendo credenciais alcance um caminho influenciado pelo atacante nesse host fixo. O advisory afirma roubo da chave de API, mas as evidências fornecidas não estabelecem que o atacante pode observar o cabeçalho `Authorization`. O webhook não autenticado também permite a criação de visualizações (previews). O alvo deve ser um projeto do dbt Cloud IDE e o atacante precisa conhecer seu `projectUuid`; o UUID não é enumerável, mas pode ser descoberto em contextos compartilhados ou multi-tenant. A versão 0.3214.0 corrige a traversia de caminho por identificador e verifica as assinaturas HMAC dos webhooks apenas quando um segredo está configurado; sem um segredo, os webhooks não assinados continuam sendo processados.
If you want to get best quality of vulnerability data, you may have to visit VulDB.