CVE-2025-12405
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność nieprawidłowego zarządzania uprawnieniami w Looker Studio wpływa na wszystkie łączniki oparte na JDBC. Użytkownik Looker Studio z dostępem do podglądu raportu mógł skopiować raport i wykonać dowolne zapytania SQL na bazie danych źródłowej, wykorzystując przechowywane poświadczenia. Podatność została załatana 21 lipca 2025 r., nie jest wymagane działanie klienta.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych źródłowych i możliwość wykonania dowolnych zapytań SQL, co może prowadzić do naruszenia poufności i integralności danych. Atakujący z dostępem do raportu może uzyskać pełną kontrolę nad danymi.
Rekomendacja
Nie jest wymagane działanie klienta, ponieważ poprawka została już wdrożona. Zaleca się jednak weryfikację, czy nie doszło do nieautoryzowanego dostępu do raportów i danych.
Inne podatności w Looker Studio
Zobacz wszystkie- CVE-2025-12409Wysokie
Podatność wstrzykiwania SQL w Looker Studio umożliwiała eksfiltrację danych ze źródeł danych BigQuery. Tworząc złośliwy raport z włączonymi funkcjami natywnymi i nakłaniając ofiarę do otwarcia raportu, atakujący mógł wykonać wstrzyknięte zapytania SQL z uprawnieniami ofiary w BigQuery. Podatność została załatana 7 lipca 2025 r., nie jest wymagane działanie klienta.
- CVE-2025-12397Wysokie
W Looker Studio znaleziono podatność na wstrzykiwanie SQL. Użytkownik Looker Studio z dostępem do podglądu raportu może wstrzyknąć złośliwy SQL, który wykona się z uprawnieniami właściciela raportu. Podatność dotyczyła raportów z BigQuery jako źródłem danych. Została załatana 21 lipca 2025 r., a klienci nie muszą podejmować żadnych działań.
Oryginalny opis (angielski, źródło NVD)
An improper privilege management vulnerability was found in Looker Studio. It impacted all JDBC-based connectors. A Looker Studio user with report view access could make a copy of the report and execute arbitrary SQL that would run on the data source database due to the stored credentials attached to the report. This vulnerability was patched on 21 July 2025, and no customer action is needed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS