CVE-2025-12409
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Podatność wstrzykiwania SQL w Looker Studio umożliwiała eksfiltrację danych ze źródeł danych BigQuery. Tworząc złośliwy raport z włączonymi funkcjami natywnymi i nakłaniając ofiarę do otwarcia raportu, atakujący mógł wykonać wstrzyknięte zapytania SQL z uprawnieniami ofiary w BigQuery. Podatność została załatana 7 lipca 2025 r., nie jest wymagane działanie klienta.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych w BigQuery i możliwość ich eksfiltracji. Atakujący może wykraść wrażliwe dane organizacji, wykorzystując uprawnienia ofiary.
Rekomendacja
Nie jest wymagane działanie klienta, ponieważ poprawka została już wdrożona. Zaleca się jednak monitorowanie dostępu do BigQuery i weryfikację, czy nie doszło do nieautoryzowanych zapytań.
Inne podatności w Looker Studio
Zobacz wszystkie- CVE-2025-12405Wysokie
Podatność nieprawidłowego zarządzania uprawnieniami w Looker Studio wpływa na wszystkie łączniki oparte na JDBC. Użytkownik Looker Studio z dostępem do podglądu raportu mógł skopiować raport i wykonać dowolne zapytania SQL na bazie danych źródłowej, wykorzystując przechowywane poświadczenia. Podatność została załatana 21 lipca 2025 r., nie jest wymagane działanie klienta.
- CVE-2025-12397Wysokie
W Looker Studio znaleziono podatność na wstrzykiwanie SQL. Użytkownik Looker Studio z dostępem do podglądu raportu może wstrzyknąć złośliwy SQL, który wykona się z uprawnieniami właściciela raportu. Podatność dotyczyła raportów z BigQuery jako źródłem danych. Została załatana 21 lipca 2025 r., a klienci nie muszą podejmować żadnych działań.
Oryginalny opis (angielski, źródło NVD)
A SQL injection vulnerability was discovered in Looker Studio that allowed for data exfiltration from BigQuery data sources. By creating a malicious report with native functions enabled, and having the victim access the report, an attacker could execute injected SQL queries with the victim's permissions in BigQuery. This vulnerability was patched on 07 July 2025, and no customer action is needed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS