Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-61654

Lightdash dbt Cloud webhook'unda kimlik doğrulama yok, yol enjeksiyonu mevcut

lightdash

Yüksek 8,3 CVSS 4.0
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, veri analizi platformunuzun dış bir servisle olan bağlantısındaki erişim anahtarının riske girmesine yol açabilir. Kimlik doğrulaması olmadan dışarıdan işlem tetiklenebildiği için bu güncellemenin öncelikli olarak yapılması gerekir.

ÖzetTürkçe

Lightdash açık kaynak iş zekâsı platformunun 0.3214.0 öncesi sürümlerinde, dbt Cloud webhook uç noktasında kimlik doğrulama katmanı ve imza doğrulaması bulunmuyor. accountId ve runId değerleri temizlenmeden dbt Cloud API adresine eklendiği için yol geçişi (path traversal) mümkün oluyor ve proje API anahtarı içeren istek, saldırganın etkileyebildiği bir yola gönderilebiliyor. Etkilenen hedefler dbt Cloud IDE projesi olan kurulumlardır ve saldırganın hedef projenin projectUuid değerini bilmesi gerekir.

Saldırgan ne yapabilir?

Saldırgan, kimlik bilgisi taşıyan isteğin ulaştığı yolu değiştirebilir; API anahtarının gerçekten ele geçirilip geçirilemeyeceği kanıtlanmamış olsa da kimlik doğrulaması olmadan proje için önizleme oluşturabilir.

Kaynaktaki açıklama (İngilizce)

Lightdash is an open source business intelligence platform. In affected versions through 0.3213.0, the dbt Cloud webhook POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook has no authentication middleware or signature validation. In packages/backend/src/controllers/projectController.ts, testWebhook() accepts accountId and runId from a job.run.completed request and passes them to createPreviewWithExplores() in packages/backend/src/services/ProjectService/ProjectService.ts. These unsanitized values are interpolated into the server-side dbt Cloud API URL, which is requested with the victim project's API key in the Authorization header. Path traversal through accountId changes the requested path on cloud.getdbt.com without changing its host, so the credential-bearing request reaches an attacker-influenced path on that fixed host. The advisory claims API-key theft, but the supplied evidence does not establish that the attacker can observe the Authorization header. The unauthenticated webhook also allows preview creation. The target must be a dbt Cloud IDE project and the attacker must know its projectUuid; the UUID is not enumerable but can be discovered in shared or multi-tenant contexts. Version 0.3214.0 fixes identifier path traversal and verifies webhook HMAC signatures only when a secret is configured; without a secret, unsigned webhooks continue to be processed.

Ne yapmalı?

  1. Lightdash'i 0.3214.0 veya sonraki bir sürüme yükseltin. Üretici
  2. Yükseltmeden önce dbt Cloud webhook'u için bir gizli anahtar (secret) yapılandırın; imza doğrulaması yalnızca gizli anahtar tanımlı olduğunda çalıştığı için imzasız isteklerin işlenmesi bu şekilde engellenir. Genel öneri
  3. Proje API anahtarının sızmış olabileceğinden şüpheleniyorsanız dbt Cloud tarafında anahtarı yenileyin ve Lightdash yapılandırmasındaki eski anahtarı geçersiz kılın. Genel öneri

Ek önlemler

  • Webhook isteklerini beklenmeyen kaynaklar ve olağan dışı önizleme oluşturma olayları açısından günlüklerden izleyin. Genel öneri
  • Proje UUID değerlerini paylaşılan veya çok kiracılı ortamlarda gizli tutun ve gereksiz yere yaymayın. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
lightdash < 0.3214.0 0.3214.0

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.