CVE-2025-12743
ŚrednieCVSS 6.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Punkt końcowy Looker do generowania nowych projektów z połączeń bazodanowych pozwala podać nazwę połączenia "looker", zarezerwowaną dla wewnętrznej bazy MySQL Looker. Parametr schemas jest podatny na wstrzyknięcie SQL, co umożliwia atakującym manipulowanie zapytaniami SELECT wykonywanymi na wewnętrznej bazie MySQL i wyodrębnienie danych przez użytkowników z uprawnieniami deweloperskimi.
Ocena ryzyka
Użytkownicy z uprawnieniami deweloperskimi mogą wydobyć dane z wewnętrznej bazy MySQL Looker, co narusza poufność danych platformy. Dotyczy to zarówno instancji hostowanych, jak i self-hosted.
Rekomendacja
Dla instancji self-hosted niezwłocznie zaktualizuj Looker do jednej z poprawionych wersji (np. 24.12.106, 24.18.198+, 25.0.75, 25.6.63+, 25.8.45+, 25.10.33+, 25.12.1+, 25.14+). Instancje hostowane zostały już zabezpieczone przez dostawcę.
Inne podatności w Looker
Zobacz wszystkie- CVE-2025-12414Krytyczne
W Looker skonfigurowanym z uwierzytelnianiem OIDC, z powodu normalizacji adresów e-mail, atakujący może przejąć konto użytkownika. Problem dotyczy zarówno wersji hostowanej przez Looker, jak i samodzielnie instalowanych; wersje hostowane zostały już załatane, a samodzielne wymagają aktualizacji.
- CVE-2025-12742Wysokie
Użytkownik Looker z rolą Developer może spowodować wykonanie złośliwego polecenia przez Looker z powodu niebezpiecznego przetwarzania parametrów sterownika Teradata. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted. Problem został już złagodzony dla instancji hostowanych przez Looker — nie wymagają one działań użytkownika. Instancje self-hosted muszą zostać jak najszybciej zaktualizowane; podatność została załatana we wszystkich wspieranych wersjach self-hosted (24.12.108+, 24.18.200+, 25.0.78+, 25.6.65+, 25.8.47+, 25.12.10+, 25.14+).
- CVE-2025-12741Wysokie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika Denodo i manipulując LookML, spowodować wykonanie złośliwego polecenia. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
- CVE-2025-12740Wysokie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika IBM DB2 i manipulując LookML, spowodować wykonanie złośliwego polecenia z powodu niedostatecznego filtrowania parametrów sterownika. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
- CVE-2025-12739Wysokie
Atakujący z uprawnieniami viewer w Looker może stworzyć złośliwy URL, który po otwarciu przez administratora Looker wykona dostarczony przez atakującego skrypt. Wykorzystanie wymaga zainstalowania co najmniej jednego rozszerzenia Looker na instancji.
- CVE-2025-12472Wysokie
Atakujący z rolą Looker Developer może manipulować projektem LookML, aby wykorzystać warunek wyścigu podczas usuwania katalogu Git, co prowadzi do wykonania dowolnych poleceń na instancji Looker. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted. Problem został złagodzony dla instancji hostowanych przez Looker, a dla self-hosted został naprawiony we wszystkich wspieranych wersjach.
- CVE-2025-12155Wysokie
Podatność na wstrzyknięcie poleceń wynikająca z niewłaściwej sanityzacji ścieżek plików (Directory Traversal) w Looker pozwala atakującemu z uprawnieniami Developer na wykonanie dowolnych poleceń powłoki podczas usuwania użytkownika w systemie hosta. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted; instancje hostowane zostały już zabezpieczone, natomiast self-hosted wymagają pilnej aktualizacji.
Oryginalny opis (angielski, źródło NVD)
The Looker endpoint for generating new projects from database connections allows users to specify "looker" as a connection name, which is a reserved internal name for Looker's internal MySQL database. The schemas parameter is vulnerable to SQL injection, enabling attackers to manipulate SELECT queries that are constructed and executed against the internal MySQL database. This vulnerability allows users with developer permissions to extract data from Looker's internal MySQL database. Looker-hosted and Self-hosted were found to be vulnerable. This issue has already been mitigated for Looker-hosted instances. No user action is required for these. Self-hosted instances must be upgraded as soon as possible. This vulnerability has been patched in all supported versions of Self-hosted. The versions below have all been updated to protect against this vulnerability. You can download these versions at the Looker download page https://download.looker.com/ : * 24.12.106 * 24.18.198+ * 25.0.75 * 25.6.63+ * 25.8.45+ * 25.10.33+ * 25.12.1+ * 25.14+
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS