- Yama var
- Son 7 gün
- CWE-22
CVE-2026-61576
Lightdash dbt Cloud webhook'unda kimlik doğrulamasız yol geçişi (path traversal)
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, Lightdash üzerinde iş verilerinizin bulunduğu raporlama platformunu kimlik doğrulaması olmadan kötüye kullanılabilir hale getirebilir. Saldırının gerçekleşmesi için hedef projenin kimliğinin bilinmesi gerekir, bu da açığın hemen ama dikkatle yönetilmesi gerektiği anlamına gelir. Güncellemenin hızlı şekilde uygulanması iş riskini önemli ölçüde azaltır.
ÖzetTürkçe
Lightdash'ın dbt Cloud webhook uç noktasında kimlik doğrulama ve imza kontrolü bulunmuyor. accountId ve runId değerleri temizlenmeden sunucudaki dbt Cloud API isteğinin URL'sine eklenerek, proje API anahtarı ile birlikte istek gönderiliyor. 0.3214.0 öncesi sürümler, dbt Cloud IDE projesi kullanan ve projectUuid değerini bilen kurumları etkiliyor.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan önizleme oluşturabilir ve proje API anahtarının kullanıldığı isteğin yönünü etkileyerek sınırlı veri bütünlüğü etkisi yaratabilir. API anahtarının doğrudan ele geçirildiği advisory'de iddia edilse de mevcut kanıtlar bunu doğrulamıyor.
Kaynaktaki açıklama (İngilizce)
Lightdash is an open source business intelligence platform. In affected versions through 0.3213.0, the dbt Cloud webhook POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook has no authentication middleware or signature validation. In packages/backend/src/controllers/projectController.ts, testWebhook() accepts accountId and runId from a job.run.completed request and passes them to createPreviewWithExplores() in packages/backend/src/services/ProjectService/ProjectService.ts. These unsanitized values are interpolated into the server-side dbt Cloud API URL, which is requested with the victim project's API key in the Authorization header. Path traversal through accountId changes the requested path on cloud.getdbt.com without changing its host, so the credential-bearing request reaches an attacker-influenced path on that fixed host. The advisory claims API-key theft, but the supplied evidence does not establish that the attacker can observe the Authorization header. The unauthenticated webhook also allows preview creation. The target must be a dbt Cloud IDE project and the attacker must know its projectUuid; the UUID is not enumerable but can be discovered in shared or multi-tenant contexts. Version 0.3214.0 fixes identifier path traversal and verifies webhook HMAC signatures only when a secret is configured; without a secret, unsigned webhooks continue to be processed.
Ne yapmalı?
- Lightdash'ı 0.3214.0 veya üzeri bir sürüme yükseltin. Üretici
- Güncelleme yapılana kadar dbt Cloud webhook uç noktasına dışarıdan erişimi ağ veya ters proxy seviyesinde kısıtlayın. Genel öneri
- Webhook için bir gizli anahtar (secret) yapılandırın; sürüm 0.3214.0, gizli anahtar tanımlandığında HMAC imzalarını doğrular. Gizli anahtar yoksa imzasız webhook'lar işlenmeye devam eder. Üretici
Ek önlemler
- Proje kimliklerinin (projectUuid) paylaşılan veya çok kiracılı ortamlarda açığa çıkmamasına dikkat edin. Genel öneri
- Webhook isteklerini ve beklenmeyen önizleme oluşturma olaylarını günlük kayıtlarından düzenli olarak izleyin. Genel öneri
- dbt Cloud tarafında kullanılan API anahtarlarını güncelleyin ve gerekirse yenileyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| lightdash | < 0.3214.0 | 0.3214.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.