Lightdash 0.3213.0 版本 webhook 無認證漏洞 可能洩漏 API 金鑰
CVE-2026-61576 - Lightdash: Unauthenticated dbt Cloud webhook with path injection leaks API key
Lightdash 0.3213.0 版本的 dbt Cloud webhook 由於缺乏認證與簽名驗證，攻擊者可利用路徑注入取得 API 金鑰或建立預覽。
Lightdash 0.3213.0 版本因 webhook 未驗證易被利用，建議即時升級至 0.3214.0 或啟用 HMAC 秘密。
譯文尚未完整，完整內容請切換至原文。
Lightdash 是一個開源商業智慧平臺。在受影響的版本至 0.3213.0 中，dbt Cloud webhook `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` 沒有身份驗證中介軟體或簽名驗證。在 `packages/backend/src/controllers/projectController.ts`，`testWebhook()` 接受來自 `job.run.completed` 請求的 `accountId` 和 `runId`，並將它們傳遞給 `packages/backend/src/services/ProjectService/ProjectService.ts` 中的 `createPreviewWithExplores()`。這些未經消毒的值被插值到伺服器端的 dbt Cloud API URL，該 URL 使用受害者專案的 API 金鑰在 `Authorization` 標頭中請求。通過 `accountId` 的路徑遍歷會改變對 `cloud.getdbt.com` 的請求路徑，而不改變主機，因而攜帶憑證的請求會到達攻擊者影響的路徑。建議聲稱 API 金鑰被盜，但提供的證據並未證明攻擊者能觀察到 `Authorization` 標頭。未經身份驗證的 webhook 也允許建立預覽。目標必須是 `dbt Cloud IDE` 專案，且攻擊者必須知道其 `projectUuid`；UUID 不是可列舉的，但在共享或多租戶環境中可被發現。版本 0.3214.0 修復了識別符路徑遍歷，並僅在配置了秘密時驗證 webhook HMAC 簽名；若無秘密，未簽名的 webhook 仍會被處理。
影響
受影響產品
以下產品受到 CVE-2026-61576
漏洞的影響。
即使 cvefeed.io 知道受影響產品的確切版本，
這些資訊也未在下表中呈現。
| 編號 | 供應商 | 產品 | 行動 |
|---|---|---|---|
| 1 | Lightdash | lightdash |
Common Vulnerability Scoring System（CVSS）是一個標準化的框架 用於評估軟體與系統漏洞的嚴重程度。 我們從各來源收集並顯示每個 CVE 的 CVSS 分數。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 4.0 | 高 | [email protected] |
將 Lightdash 更新至 0.3214.0 或更高版本，以修復路徑遍歷並驗證 webhook 簽名。
- 將 Lightdash 更新至 0.3214.0 或更高版本。
- 為 HMAC 簽名驗證設定一個秘密。
- 限制 webhook 存取僅授權系統。
- 監控未授權存取嘗試。
在此，您將找到一份精選的外部連結清單，提供關於 CVE-2026-61576 的深入資訊、實用解決方案和有價值的工具。
雖然 CVE 識別具體的漏洞例項，CWE 則將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-61576 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，這些模式描述了對手為利用 CVE-2026-61576 弱點所採用的常見屬性和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞利用。以下列表是一系列已在 GitHub 上發布的公開漏洞利用與概念驗證（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表是文章中提及 CVE-2026-61576 漏洞的新聞。
以下表格列出了隨時間變更的 CVE-2026-61576 漏洞變更。
漏洞歷史細節對於瞭解漏洞的演變，以及識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更都很有用。
-
新 CVE 收到 由 [email protected]
十月. 29, 2026
動作 型別 舊值 新值 新增 說明 Lightdash 是一個開源商業智慧平臺。在受影響的版本至 0.3213.0 之前，dbt Cloud webhook `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` 沒有身份驗證中介層或簽名驗證。在 `packages/backend/src/controllers/projectController.ts`，`testWebhook()` 從 `job.run.completed` 請求中接受 `accountId` 和 `runId`，並將它們傳遞給 `packages/backend/src/services/ProjectService/ProjectService.ts` 中的 `createPreviewWithExplores()`。這些未經消毒的值被插值到伺服器端 dbt Cloud API URL 中，該 URL 使用受害者專案的 API 金鑰在 `Authorization` 標頭中進行請求。通過 `accountId` 的路徑遍歷會改變在 `cloud.getdbt.com` 上請求的路徑，而不改變其主機，因而帶有憑證的請求會到達攻擊者影響的該固定主機上的路徑。建議聲稱 API‑key 被盜，但提供的證據並未證明攻擊者能觀察到 `Authorization` 標頭。未經身份驗證的 webhook 也允許預覽建立。目標必須是 `dbt Cloud IDE` 專案，且攻擊者必須知道其 `projectUuid`；UUID 不是可列舉的，但在共享或多租戶環境中可被發現。版本 0.3214.0 修復了識別符路徑遍歷，並僅在配置了金鑰時驗證 webhook HMAC 簽名；沒有金鑰時，未簽名的 webhook 仍會被處理。 新增 CVSS V4.0 AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X 新增 CWE CWE-22 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/61xxx/CVE-2026-61576.json">CVE-2026-61576</a> 新增 參考 https://github.com/lightdash/lightdash/commit/8d1d9bb6804bbea66a7bdf1b9b00092665382f14 新增 參考 https://github.com/lightdash/lightdash/pull/24587 新增 參考 https://github.com/lightdash/lightdash/releases/tag/0.3214.0 新增 參考 https://github.com/lightdash/lightdash/security/advisories/GHSA-3594-hhm2-76fj
EPSS 是對未來 30 天內觀測到利用活動機率的每日估算。以下圖表顯示此漏洞的 EPSS 分數歷史。