CVE-2026-100406
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
dbt w wersjach od 2.0.0-alpha.0 do 2.0.0-alpha.5 udostępnia nieuwierzytelniony endpoint POST /api/v1/query w dbt docs serve, który przekazuje SQL dostarczony przez klienta do DuckDbViewsBackend::query_arrow() bez autoryzacji i listy dozwolonych. Klient mogący połączyć się z serwerem może wywołać funkcje odczytu systemu plików DuckDB, aby odczytać pliki dostępne dla procesu dbt, w tym pliki spoza katalogu indeksu dokumentacji.
Ocena ryzyka
Atakujący z dostępem sieciowym do serwera dbt docs może odczytać poufne pliki z systemu, co prowadzi do wycieku danych i naruszenia poufności.
Rekomendacja
Zaktualizuj dbt do wersji 2.0.0-alpha.5 lub nowszej; jeśli to możliwe, nie eksponuj serwera dbt docs poza localhost.
Inne podatności w dbt
Zobacz wszystkie- CVE-2026-39382Krytyczne
W dbt, w wielokrotnego użytku przepływie pracy open-issue-in-repo.yml, dane wyjściowe steps.issue_comment.outputs.comment-body są interpolowane bezpośrednio w instrukcję bash if bez odpowiedniego escapingu. Atakujący może wstrzyknąć dowolne polecenia powłoki poprzez złośliwy komentarz.
- CVE-2024-40637Średnie
dbt umożliwia analitykom i inżynierom danych transformację danych. Podczas instalacji pakietu w dbt może on nadpisać makra, materializacje i inne podstawowe komponenty dbt, co jest zamierzone, ale złośliwy pakiet może nadpisać te komponenty szkodliwym kodem. Podatność została naprawiona w wersjach 1.8.0, 1.6.14 i 1.7.14.
Oryginalny opis (angielski, źródło NVD)
dbt enables data analysts and engineers to transform their data using the same practices that software engineers use to build applications. From 2.0.0-alpha.0 until 2.0.0-alpha.5, dbt docs serve exposes the unauthenticated POST /api/v1/query endpoint in crates/dbt-docs-server/src/handlers/query.rs, which passes caller-supplied SQL to DuckDbViewsBackend::query_arrow() in crates/dbt-index-core/src/backend.rs without authorization or an allowlist. A client that can reach the server can invoke DuckDB filesystem-reading functions to read files available to the dbt process, including files outside the docs index directory. The server binds to localhost by default, but operators can expose it to a network through the host option or DBT_DOCS_HOST setting. This issue is fixed in version 2.0.0-alpha.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS