CVE-2026-108747
ŚrednieCVSS 4.2Streszczenie
Lightdash w wersjach do 2.556.0 zawiera podatność obejścia autoryzacji, która pozwala uwierzytelnionym członkom organizacji usuwać osobiste tokeny dostępu innych użytkowników poprzez podanie ich UUID. Atakujący może wysłać żądanie DELETE do trasy personal-access-tokens z UUID tokenu ofiary, nawet między organizacjami, aby go unieważnić i przerwać integracje API.
Ocena ryzyka
Atakujący może zdalnie unieważnić tokeny dostępu innych użytkowników, co prowadzi do przerwania integracji API i zakłócenia działania organizacji. Ryzyko obejmuje również możliwość działań sabotażowych wymierzonych w konkretnych użytkowników.
Rekomendacja
Zaktualizuj Lightdash do wersji nowszej niż 2.556.0, jeśli jest dostępna, oraz wdrożyć dodatkowe kontrole autoryzacji dla operacji na tokenach dostępu. Monitoruj logi pod kątem nieautoryzowanych żądań DELETE do tras tokenów.
Inne podatności w Lightdash
Zobacz wszystkie- CVE-2023-35844Wysokie
Wersje Lightdash przed 0.510.3 zawierają niebezpieczne punkty końcowe plików, które umożliwiają atak typu directory traversal oraz nie weryfikują, czy używana jest zamierzona rozszerzenie pliku (.csv lub .png).
- CVE-2026-72846Średnie
Lightdash przechowuje adres URL webhooka dostarczony z zaplanowanym dostarczaniem i później wysyła do niego POST z sendWebhook w packages/backend/src/clients/GoogleChat/GoogleChatClient.ts oraz w packages/backend/src/clients/MicrosoftTeams/MicrosoftTeamsClient.ts. W dotkniętych wersjach oba wywołują fetch bezpośrednio na zapisanym adresie URL. Pomocnik validatePublicHttpUrl w packages/backend/src/utils/ssrfProtection.ts, używany dla adresów URL serwera MCP, nie jest stosowany na żadnej ścieżce, a pola webhooka nie mają ograniczeń URL po stronie serwera. Użytkownik mogący utworzyć lub wyzwolić zaplanowane dostarczanie może skierować serwer do wysyłania żądań POST do prywatnych, loopback i link-local adresów, w tym do punktów końcowych metadanych chmury, i może odróżnić dostępne wewnętrzne usługi od niedostępnych poprzez wynikające błędy. Odpowiedź zewnętrzna nigdy nie jest zwracana do żądającego; w przypadku statusu błędu jej treść jest zapisywana w logu serwera. Wersja 1.146.4 kieruje oba klienty przez postSchedulerWebhook z packages/backend/src/utils/schedulerWebhookValidation zamiast bezpośredniego wywołania fetch.
Oryginalny opis (angielski, źródło NVD)
Lightdash through 2.556.0 contains an authorization bypass vulnerability that allows authenticated organization members to delete other users' personal access tokens by supplying their UUID. Attackers can send DELETE requests to the personal-access-tokens route with a victim's token UUID, even across organizations, to revoke it and break API integrations.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS