CVE-2026-61654：Lightdash 未經驗證的 dbt Cloud webhook 造成 API 金鑰外洩

Lightdash 是一個開源商業智慧平臺。在受影響的 0.3213.0 之前的版本中，dbt Cloud webhook `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` 沒有身份驗證中介軟體或簽名驗證。在 `packages/backend/src/controllers/projectController.ts`，`testWebhook()` 從 `job.run.completed` 請求中接收 `accountId` 和 `runId`，並將它們傳遞給 `packages/backend/src/services/ProjectService/ProjectService.ts` 中的 `createPreviewWithExplores()`。這些未經過濾的值會被插入到伺服器端的 dbt Cloud API URL，該請求使用受害者專案的 API 金鑰放在 `Authorization` 標頭中。透過 `accountId` 的路徑遍歷會改變對 `cloud.getdbt.com` 的請求路徑，而不改變主機，因而帶有憑證的請求會抵達攻擊者控制的路徑。安全公告聲稱可能竊取 API 金鑰，但所提供的證據並未證明攻擊者能觀察到 `Authorization` 標頭。未經身份驗證的 webhook 也允許建立預覽。目標必須是 `dbt Cloud IDE` 專案，且攻擊者必須知道其 `projectUuid`；該 UUID 不是可列舉的，但在共享或多租戶環境中可被發現。0.3214.0 版修正了識別符路徑遍歷，並僅在設定秘密時驗證 webhook HMAC 簽名；若未設定秘密，未簽名的 webhook 仍會被處理。

影響

受影響產品

受影響的產品為 CVE-2026-61654 漏洞。即使 cvefeed.io 知道產品的確切版本，產品之為受影響，相關資訊未在下表中呈現。

ID	供應商	產品	措施
1	Lightdash	lightdash

Common Vulnerability Scoring System（CVSS）是一個標準化框架，用於評估軟體與系統漏洞的嚴重程度。我們從各種來源收集並顯示每個 CVE 的 CVSS 分數。

分數	版本	嚴重程度	向量	可利用性分數	影響分數	來源
	CVSS 4.0	高				[email protected]

將 Lightdash 更新至 0.3214.0 或更高版本，以修復路徑遍歷並驗證 webhook 簽名。

將 Lightdash 更新至 0.3214.0 或更高版本。
設定 HMAC 簽名驗證的秘密。
限制對專案 UUID 的存取。
監控未授權的預覽建立。

在此，您將找到一份精選的外部連結清單，提供有關 CVE-2026-61654 的深入資訊、實用解決方案與有價值的工具。

URL	資源
https://github.com/lightdash/lightdash/commit/8d1d9bb6804bbea66a7bdf1b9b00092665382f14
https://github.com/lightdash/lightdash/pull/24587
https://github.com/lightdash/lightdash/releases/tag/0.3214.0
https://github.com/lightdash/lightdash/security/advisories/GHSA-r4xc-vwqr-3252

雖然 CVE 識別特定漏洞例項，CWE 則將可導致漏洞的常見缺陷或弱點分類。CVE-2026-61654 與以下 CWEs 相關聯：

Common Attack Pattern Enumeration and Classification (CAPEC) 儲存攻擊模式，這些模式是對攻擊者利用 CVE-2026-61654 弱點所採用的常見屬性和方法的描述。

我們掃描 GitHub 倉庫以偵測新的概念驗證（PoC）攻擊。以下清單是一系列已在 GitHub 釋出的公開漏洞與概念驗證（按最近更新時間排序）。

由於潛在的效能問題，結果僅限於前 15 個倉庫。

以下清單列出在文章中提及 CVE-2026-61654 漏洞的新聞。

下表列出了 CVE-2026-61654 漏洞隨時間所做的變更。

漏洞歷史細節有助於瞭解漏洞的演變，以及辨識可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。

新 CVE 已接收由 [email protected]

十月. 29, 2026

動作	型別	新值
新增	說明	Lightdash 是一個開源商業智慧平臺。在受影響的版本至 0.3213.0 中，dbt Cloud webhook `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` 沒有身份驗證中介軟體或簽名驗證。在 `packages/backend/src/controllers/projectController.ts`，`testWebhook()` 接收來自 `job.run.completed` 請求的 `accountId` 和 `runId`，並將它們傳遞給 `packages/backend/src/services/ProjectService/ProjectService.ts` 中的 `createPreviewWithExplores()`。這些未經消毒的值被插值到伺服器端 dbt Cloud API URL 中，該 URL 以受害者專案的 API 金鑰在 `Authorization` 標頭中傳送請求。通過 `accountId` 的路徑遍歷會改變 `cloud.getdbt.com` 上請求的路徑，而不改變其主機，因而帶有憑證的請求會到達攻擊者影響的該固定主機上的路徑。建議聲稱 API 金鑰被盜，但所提供的證據並未證明攻擊者能觀察到 `Authorization` 標頭。未經身份驗證的 webhook 也允許預覽建立。目標必須是 `dbt Cloud IDE` 專案，且攻擊者必須知道其 `projectUuid`；UUID 無法列舉，但在共享或多租戶環境中可被發現。版本 0.3214.0 修正了識別符路徑遍歷，並僅在配置了 secret 時驗證 webhook HMAC 簽名；若無 secret，未簽名的 webhook 仍會被處理。
新增	CVSS V4.0	AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
已新增	CWE	CWE-89
已新增	受影響	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/61xxx/CVE-2026-61654.json">CVE-2026-61654</a>
已新增	參考	https://github.com/lightdash/lightdash/commit/8d1d9bb6804bbea66a7bdf1b9b00092665382f14
已新增	參考	https://github.com/lightdash/lightdash/pull/24587
已新增	參考	https://github.com/lightdash/lightdash/releases/tag/0.3214.0
已新增	參考	https://github.com/lightdash/lightdash/security/advisories/GHSA-r4xc-vwqr-3252

EPSS 是每日估算在接下來 30 天內觀測到利用活動的機率。以下圖表顯示該漏洞的 EPSS 分數歷史。

CVE-2026-61654：Lightdash 未經驗證的 dbt Cloud webhook 造成 API 金鑰外洩

受影響產品

新 CVE 已接收 由 [email protected]

新 CVE 已接收由 [email protected]