CVE-2025-12741
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika Denodo i manipulując LookML, spowodować wykonanie złośliwego polecenia. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
Ocena ryzyka
Osoba z rolą Developer może wykonać dowolne polecenia na serwerze Looker, co może prowadzić do przejęcia systemu lub naruszenia danych.
Rekomendacja
Zaktualizuj Self-hosted Looker do wersji 24.12.108+, 24.18.200+, 25.0.78+, 25.6.65+, 25.8.47+, 25.12.10+ lub 25.14+.
Inne podatności w Looker
Zobacz wszystkie- CVE-2025-12414Krytyczne
W Looker skonfigurowanym z uwierzytelnianiem OIDC, z powodu normalizacji adresów e-mail, atakujący może przejąć konto użytkownika. Problem dotyczy zarówno wersji hostowanej przez Looker, jak i samodzielnie instalowanych; wersje hostowane zostały już załatane, a samodzielne wymagają aktualizacji.
- CVE-2025-12740Wysokie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika IBM DB2 i manipulując LookML, spowodować wykonanie złośliwego polecenia z powodu niedostatecznego filtrowania parametrów sterownika. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
- CVE-2025-12739Wysokie
Atakujący z uprawnieniami viewer w Looker może stworzyć złośliwy URL, który po otwarciu przez administratora Looker wykona dostarczony przez atakującego skrypt. Wykorzystanie wymaga zainstalowania co najmniej jednego rozszerzenia Looker na instancji.
- CVE-2025-12155Wysokie
Podatność na wstrzyknięcie poleceń wynikająca z niewłaściwej sanityzacji ścieżek plików (Directory Traversal) w Looker pozwala atakującemu z uprawnieniami Developer na wykonanie dowolnych poleceń powłoki podczas usuwania użytkownika w systemie hosta. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted; instancje hostowane zostały już zabezpieczone, natomiast self-hosted wymagają pilnej aktualizacji.
Oryginalny opis (angielski, źródło NVD)
A Looker user with Developer role could create a database connection using Denodo driver and, by manipulating LookML, cause Looker to execute a malicious command. Looker-hosted and Self-hosted were found to be vulnerable. This issue has already been mitigated for Looker-hosted instances. No user action is required for these. Self-hosted instances must be upgraded as soon as possible. This vulnerability has been patched in all supported versions of Self-hosted. The versions below have all been updated to protect from this vulnerability. You can download these versions at the Looker download page https://download.looker.com/ : * 24.12.108+ * 24.18.200+ * 25.0.78+ * 25.6.65+ * 25.8.47+ * 25.12.10+ * 25.14+
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS