CVE-2025-12397
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Looker Studio znaleziono podatność na wstrzykiwanie SQL. Użytkownik Looker Studio z dostępem do podglądu raportu może wstrzyknąć złośliwy SQL, który wykona się z uprawnieniami właściciela raportu. Podatność dotyczyła raportów z BigQuery jako źródłem danych. Została załatana 21 lipca 2025 r., a klienci nie muszą podejmować żadnych działań.
Ocena ryzyka
Atakujący może wykonać nieautoryzowane zapytania SQL z uprawnieniami właściciela raportu, co może prowadzić do wycieku danych lub nieautoryzowanego dostępu do danych w BigQuery.
Rekomendacja
Nie jest wymagane działanie, ponieważ podatność została już załatana. Upewnij się, że korzystasz z najnowszej wersji Looker Studio.
Inne podatności w Looker Studio
Zobacz wszystkie- CVE-2025-12405Wysokie
Podatność nieprawidłowego zarządzania uprawnieniami w Looker Studio wpływa na wszystkie łączniki oparte na JDBC. Użytkownik Looker Studio z dostępem do podglądu raportu mógł skopiować raport i wykonać dowolne zapytania SQL na bazie danych źródłowej, wykorzystując przechowywane poświadczenia. Podatność została załatana 21 lipca 2025 r., nie jest wymagane działanie klienta.
- CVE-2025-12409Wysokie
Podatność wstrzykiwania SQL w Looker Studio umożliwiała eksfiltrację danych ze źródeł danych BigQuery. Tworząc złośliwy raport z włączonymi funkcjami natywnymi i nakłaniając ofiarę do otwarcia raportu, atakujący mógł wykonać wstrzyknięte zapytania SQL z uprawnieniami ofiary w BigQuery. Podatność została załatana 7 lipca 2025 r., nie jest wymagane działanie klienta.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability was found in Looker Studio. A Looker Studio user with report view access could inject malicious SQL that would execute with the report owner's permissions. The vulnerability affected to reports with BigQuery as the data source. This vulnerability was patched on 21 July 2025, and no customer action is needed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS