CVE-2025-12739
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Atakujący z uprawnieniami viewer w Looker może stworzyć złośliwy URL, który po otwarciu przez administratora Looker wykona dostarczony przez atakującego skrypt. Wykorzystanie wymaga zainstalowania co najmniej jednego rozszerzenia Looker na instancji.
Ocena ryzyka
Może dojść do wykonania złośliwego skryptu w kontekście administratora, co może prowadzić do przejęcia sesji i nieautoryzowanych działań w instancji Looker. Dotyczy to zarówno instancji hostowanych przez Looker, jak i self-hosted.
Rekomendacja
Dla instancji self-hosted należy jak najszybciej zaktualizować do wersji 24.18.201+, 25.0.79+, 25.6.66+, 25.12.7+, 25.16.0+, 25.18.0+ lub 25.20.0+. Instancje hostowane przez Looker zostały już zabezpieczone i nie wymagają działań użytkownika.
Inne podatności w Looker
Zobacz wszystkie- CVE-2025-12414Krytyczne
W Looker skonfigurowanym z uwierzytelnianiem OIDC, z powodu normalizacji adresów e-mail, atakujący może przejąć konto użytkownika. Problem dotyczy zarówno wersji hostowanej przez Looker, jak i samodzielnie instalowanych; wersje hostowane zostały już załatane, a samodzielne wymagają aktualizacji.
- CVE-2025-12742Wysokie
Użytkownik Looker z rolą Developer może spowodować wykonanie złośliwego polecenia przez Looker z powodu niebezpiecznego przetwarzania parametrów sterownika Teradata. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted. Problem został już złagodzony dla instancji hostowanych przez Looker — nie wymagają one działań użytkownika. Instancje self-hosted muszą zostać jak najszybciej zaktualizowane; podatność została załatana we wszystkich wspieranych wersjach self-hosted (24.12.108+, 24.18.200+, 25.0.78+, 25.6.65+, 25.8.47+, 25.12.10+, 25.14+).
- CVE-2025-12741Wysokie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika Denodo i manipulując LookML, spowodować wykonanie złośliwego polecenia. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
- CVE-2025-12740Wysokie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika IBM DB2 i manipulując LookML, spowodować wykonanie złośliwego polecenia z powodu niedostatecznego filtrowania parametrów sterownika. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
- CVE-2025-12743Średnie
Punkt końcowy Looker do generowania nowych projektów z połączeń bazodanowych pozwala podać nazwę połączenia "looker", zarezerwowaną dla wewnętrznej bazy MySQL Looker. Parametr schemas jest podatny na wstrzyknięcie SQL, co umożliwia atakującym manipulowanie zapytaniami SELECT wykonywanymi na wewnętrznej bazie MySQL i wyodrębnienie danych przez użytkowników z uprawnieniami deweloperskimi.
- CVE-2025-12472Wysokie
Atakujący z rolą Looker Developer może manipulować projektem LookML, aby wykorzystać warunek wyścigu podczas usuwania katalogu Git, co prowadzi do wykonania dowolnych poleceń na instancji Looker. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted. Problem został złagodzony dla instancji hostowanych przez Looker, a dla self-hosted został naprawiony we wszystkich wspieranych wersjach.
- CVE-2025-12155Wysokie
Podatność na wstrzyknięcie poleceń wynikająca z niewłaściwej sanityzacji ścieżek plików (Directory Traversal) w Looker pozwala atakującemu z uprawnieniami Developer na wykonanie dowolnych poleceń powłoki podczas usuwania użytkownika w systemie hosta. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted; instancje hostowane zostały już zabezpieczone, natomiast self-hosted wymagają pilnej aktualizacji.
Oryginalny opis (angielski, źródło NVD)
An attacker with viewer permissions in Looker could craft a malicious URL that, when opened by a Looker admin, would execute an attacker-supplied script. Exploitation required at least one Looker extension installed on the instance. Looker-hosted and Self-hosted were found to be vulnerable. This issue has already been mitigated for Looker-hosted instances. No user action is required for these. Self-hosted instances must be upgraded as soon as possible. This vulnerability has been patched in all supported versions of Self-hosted. The versions below have all been updated to protect from this vulnerability. You can download these versions at the Looker download page https://download.looker.com/ : * 24.18.201+ * 25.0.79+ * 25.6.66+ * 25.12.7+ * 25.16.0+ * 25.18.0+ * 25.20.0+
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS