CVE-2023-35844

W Lightdash w wersjach do 0.3213.0 webhook dbt Cloud POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook nie ma uwierzytelniania ani walidacji podpisu. Niesanityzowane wartości accountId i runId są wstawiane do adresu URL API dbt Cloud po stronie serwera, a żądanie jest wysyłane z kluczem API ofiary w nagłówku Authorization.

Webhook dbt Cloud w Lightdash (POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook) nie ma uwierzytelniania ani walidacji podpisu. Wartości accountId i runId z żądania są wstawiane do adresu URL API dbt Cloud po stronie serwera, co umożliwia path traversal i wysłanie żądania z kluczem API ofiary.

Lightdash w wersjach do 2.556.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom organizacji usuwać osobiste tokeny dostępu innych użytkowników poprzez podanie ich UUID. Atakujący może wysłać żądanie DELETE do trasy personal-access-tokens z UUID tokenu ofiary, nawet między organizacjami, aby go unieważnić i przerwać integracje API.

Lightdash przechowuje adres URL webhooka dostarczony z zaplanowanym dostarczaniem i później wysyła do niego POST z sendWebhook w packages/backend/src/clients/GoogleChat/GoogleChatClient.ts oraz w packages/backend/src/clients/MicrosoftTeams/MicrosoftTeamsClient.ts. W dotkniętych wersjach oba wywołują fetch bezpośrednio na zapisanym adresie URL. Pomocnik validatePublicHttpUrl w packages/backend/src/utils/ssrfProtection.ts, używany dla adresów URL serwera MCP, nie jest stosowany na żadnej ścieżce, a pola webhooka nie mają ograniczeń URL po stronie serwera. Użytkownik mogący utworzyć lub wyzwolić zaplanowane dostarczanie może skierować serwer do wysyłania żądań POST do prywatnych, loopback i link-local adresów, w tym do punktów końcowych metadanych chmury, i może odróżnić dostępne wewnętrzne usługi od niedostępnych poprzez wynikające błędy. Odpowiedź zewnętrzna nigdy nie jest zwracana do żądającego; w przypadku statusu błędu jej treść jest zapisywana w logu serwera. Wersja 1.146.4 kieruje oba klienty przez postSchedulerWebhook z packages/backend/src/utils/schedulerWebhookValidation zamiast bezpośredniego wywołania fetch.