CVE-2023-35844
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 92 - wyżej niż 92% wszystkich znanych CVE
Streszczenie
Wersje Lightdash przed 0.510.3 zawierają niebezpieczne punkty końcowe plików, które umożliwiają atak typu directory traversal oraz nie weryfikują, czy używana jest zamierzona rozszerzenie pliku (.csv lub .png).
Ocena ryzyka
Organizacja może być narażona na nieautoryzowany dostęp do plików oraz na potencjalne wycieki danych, co może prowadzić do poważnych konsekwencji prawnych i reputacyjnych.
Rekomendacja
Zaleca się aktualizację Lightdash do wersji 0.510.3 lub nowszej oraz wdrożenie dodatkowych mechanizmów zabezpieczających, aby uniemożliwić ataki typu directory traversal.
Oryginalny opis (angielski, źródło NVD)
packages/backend/src/routers in Lightdash before 0.510.3 has insecure file endpoints, e.g., they allow .. directory traversal and do not ensure that an intended file extension (.csv or .png) is used.