Podatności dbt

W dbt, w wielokrotnego użytku przepływie pracy open-issue-in-repo.yml, dane wyjściowe steps.issue_comment.outputs.comment-body są interpolowane bezpośrednio w instrukcję bash if bez odpowiedniego escapingu. Atakujący może wstrzyknąć dowolne polecenia powłoki poprzez złośliwy komentarz.

dbt w wersjach od 2.0.0-alpha.0 do 2.0.0-alpha.5 udostępnia nieuwierzytelniony endpoint POST /api/v1/query w dbt docs serve, który przekazuje SQL dostarczony przez klienta do DuckDbViewsBackend::query_arrow() bez autoryzacji i listy dozwolonych. Klient mogący połączyć się z serwerem może wywołać funkcje odczytu systemu plików DuckDB, aby odczytać pliki dostępne dla procesu dbt, w tym pliki spoza katalogu indeksu dokumentacji.

dbt umożliwia analitykom i inżynierom danych transformację danych. Podczas instalacji pakietu w dbt może on nadpisać makra, materializacje i inne podstawowe komponenty dbt, co jest zamierzone, ale złośliwy pakiet może nadpisać te komponenty szkodliwym kodem. Podatność została naprawiona w wersjach 1.8.0, 1.6.14 i 1.7.14.