CVE-2025-12742
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Użytkownik Looker z rolą Developer może spowodować wykonanie złośliwego polecenia przez Looker z powodu niebezpiecznego przetwarzania parametrów sterownika Teradata. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted. Problem został już złagodzony dla instancji hostowanych przez Looker — nie wymagają one działań użytkownika. Instancje self-hosted muszą zostać jak najszybciej zaktualizowane; podatność została załatana we wszystkich wspieranych wersjach self-hosted (24.12.108+, 24.18.200+, 25.0.78+, 25.6.65+, 25.8.47+, 25.12.10+, 25.14+).
Ocena ryzyka
Użytkownik z rolą Developer może wykonać złośliwe polecenia w kontekście serwera Looker, co może prowadzić do kompromitacji systemu i danych.
Rekomendacja
Dla instancji self-hosted zaktualizuj Looker do jednej z wymienionych wspieranych wersji; instancje hostowane przez Looker nie wymagają działań.
Inne podatności w Looker
Zobacz wszystkie- CVE-2025-12414Krytyczne
W Looker skonfigurowanym z uwierzytelnianiem OIDC, z powodu normalizacji adresów e-mail, atakujący może przejąć konto użytkownika. Problem dotyczy zarówno wersji hostowanej przez Looker, jak i samodzielnie instalowanych; wersje hostowane zostały już załatane, a samodzielne wymagają aktualizacji.
- CVE-2025-12741Wysokie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika Denodo i manipulując LookML, spowodować wykonanie złośliwego polecenia. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
- CVE-2025-12740Wysokie
Użytkownik Looker z rolą Developer może utworzyć połączenie bazodanowe używając sterownika IBM DB2 i manipulując LookML, spowodować wykonanie złośliwego polecenia z powodu niedostatecznego filtrowania parametrów sterownika. Podatne są Looker-hosted i Self-hosted; Looker-hosted już załatane, Self-hosted wymaga aktualizacji.
- CVE-2025-12739Wysokie
Atakujący z uprawnieniami viewer w Looker może stworzyć złośliwy URL, który po otwarciu przez administratora Looker wykona dostarczony przez atakującego skrypt. Wykorzystanie wymaga zainstalowania co najmniej jednego rozszerzenia Looker na instancji.
- CVE-2025-12743Średnie
Punkt końcowy Looker do generowania nowych projektów z połączeń bazodanowych pozwala podać nazwę połączenia "looker", zarezerwowaną dla wewnętrznej bazy MySQL Looker. Parametr schemas jest podatny na wstrzyknięcie SQL, co umożliwia atakującym manipulowanie zapytaniami SELECT wykonywanymi na wewnętrznej bazie MySQL i wyodrębnienie danych przez użytkowników z uprawnieniami deweloperskimi.
- CVE-2025-12472Wysokie
Atakujący z rolą Looker Developer może manipulować projektem LookML, aby wykorzystać warunek wyścigu podczas usuwania katalogu Git, co prowadzi do wykonania dowolnych poleceń na instancji Looker. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted. Problem został złagodzony dla instancji hostowanych przez Looker, a dla self-hosted został naprawiony we wszystkich wspieranych wersjach.
- CVE-2025-12155Wysokie
Podatność na wstrzyknięcie poleceń wynikająca z niewłaściwej sanityzacji ścieżek plików (Directory Traversal) w Looker pozwala atakującemu z uprawnieniami Developer na wykonanie dowolnych poleceń powłoki podczas usuwania użytkownika w systemie hosta. Podatne są zarówno instancje hostowane przez Looker, jak i self-hosted; instancje hostowane zostały już zabezpieczone, natomiast self-hosted wymagają pilnej aktualizacji.
Oryginalny opis (angielski, źródło NVD)
A Looker user with a Developer role could cause Looker to execute a malicious command, due to insecure processing of Teradata driver parameters. Looker-hosted and Self-hosted were found to be vulnerable. This issue has already been mitigated for Looker-hosted instances. No user action is required for these. Self-hosted instances must be upgraded as soon as possible. This vulnerability has been patched in all supported versions of Self-hosted. The versions below have all been updated to protect from this vulnerability. You can download these versions at the Looker download page https://download.looker.com/ : * 24.12.108+ * 24.18.200+ * 25.0.78+ * 25.6.65+ * 25.8.47+ * 25.12.10+ * 25.14+
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS