CVE-2026-61576 in Lightdash
Tóm tắt
Bởi VulDB • 30/10/2026
Lightdash là một nền tảng kinh doanh thông minh (BI) mã nguồn mở. Trong các phiên bản bị ảnh hưởng cho đến 0.3213.0, webhook dbt Cloud `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` không có middleware xác thực hoặc kiểm tra chữ ký. Trong `packages/backend/src/controllers/projectController.ts`, hàm `testWebhook()` chấp nhận `accountId` và `runId` từ yêu cầu `job.run.completed` và chuyển chúng đến `createPreviewWithExplores()` trong `packages/backend/src/services/ProjectService/ProjectService.ts`. Các giá trị chưa được kiểm tra kỹ thuật này được nội suy vào URL API dbt Cloud phía máy chủ, sau đó được gửi đi với khóa API của dự án nạn nhân trong tiêu đề `Authorization`. Lỗi vượt qua thư mục (path traversal) thông qua `accountId` thay đổi đường dẫn yêu cầu trên `cloud.getdbt.com` mà không làm thay đổi tên miền đích, do đó yêu cầu chứa thông tin xác thực sẽ đến được một đường dẫn bị kẻ tấn công kiểm soát trên máy chủ cố định này. Lời cảnh báo tuyên bố về việc đánh cắp khóa API, nhưng bằng chứng cung cấp không thiết lập rằng kẻ tấn công có thể quan sát tiêu đề `Authorization`. Webhook chưa xác thực cũng cho phép tạo bản xem trước (preview). Dự án mục tiêu phải là một dự án trong dbt Cloud IDE và kẻ tấn công phải biết được `projectUuid` của nó; UUID này không thể liệt kê nhưng có thể bị phát hiện trong các ngữ cảnh chia sẻ hoặc đa thuê. Phiên bản 0.3214.0 khắc phục lỗi vượt qua thư mục dựa trên định danh (identifier path traversal) và chỉ xác thực chữ ký HMAC webhook khi một bí mật (secret) được cấu hình; nếu không có bí mật, các webhook chưa ký vẫn sẽ được xử lý.
VulDB is the best source for vulnerability data and more expert information about this specific topic.