CVE-2026-61576

Lightdash to platforma analizy biznesowej typu open source. W wersjach, których dotyczy problem, aż do wersji 0.3213.0, webhook dbt Cloud `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` nie ma oprogramowania pośredniczącego do uwierzytelniania ani sprawdzania poprawności podpisu. W `packages/backend/src/controllers/projectController.ts`, `testWebhook()` akceptuje `accountId` i `runId` z żądania `job.run.completed` i przekazuje je do `createPreviewWithExplores()` w `packages/backend/src/services/ProjectService/ProjectService.ts`. Te nieskażone wartości są interpolowane do adresu URL dbt Cloud API po stronie serwera, który jest żądany wraz z kluczem API projektu ofiary w nagłówku „Authorization”. Przejście ścieżki przez `accountId` zmienia żądaną ścieżkę na `cloud.getdbt.com` bez zmiany hosta, więc żądanie zawierające dane uwierzytelniające dociera do ścieżki, na którą ma wpływ atakujący, na tym stałym hoście. W poradniku zawarto informację o kradzieży klucza API, ale dostarczone dowody nie potwierdzają, że osoba atakująca może odczytać nagłówek „Authorization”. Nieuwierzytelniony webhook umożliwia także tworzenie podglądu. Celem musi być projekt `dbt Cloud IDE`, a atakujący musi znać jego `projectUuid`; identyfikatora UUID nie można przeliczyć, ale można go znaleźć w kontekstach współdzielonych lub wielodostępnych. Wersja 0.3214.0 naprawia przechodzenie ścieżki identyfikatora i weryfikuje podpisy HMAC webhooka tylko wtedy, gdy skonfigurowany jest sekret; bez tajemnicy niepodpisane webhooki są nadal przetwarzane.