ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
Lightdash هي منصة ذكاء أعمال مفتوحة المصدر. في الإصدارات المتأثرة حتى 0.3213.0، لا يحتوي خطاف الويب `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` الخاص بـ dbt Cloud على وسيط مصادقة أو التحقق من صحة التوقيع. في `packages/backend/src/controllers/projectController.ts`، تقبل الدالة `testWebhook()` المعرفين `accountId` و `runId` من طلب `job.run.completed` وتمررهما إلى `createPreviewWithExplores()` في `packages/backend/src/services/ProjectService/ProjectService.ts`. يتم إدراج هذه القيم غير المطهرة في عنوان URL الخاص بـ dbt Cloud من جهة الخادم، والذي يتم طلبه باستخدام مفتاح API للمشروع الضحية في ترويسة `Authorization`. يؤدي اجتياز المسار عبر `accountId` إلى تغيير المسار المطلوب على `cloud.getdbt.com` دون تغيير مضيفه، بحيث يصل الطلب الحامل لبيانات الاعتماد إلى مسار يتأثر به المهاجم على هذا المضيف الثابت. تزعم الاستشارية سرقة مفتاح API، لكن الأدلة المقدمة لا تثبت أن المهاجم يمكنه مراقبة ترويسة `Authorization`. يسمح خطاف الويب دون مصادقة أيضًا بإنشاء معاينات. يجب أن يكون الهدف مشروع `dbt Cloud IDE` ويجب أن يعرف المهاجم `projectUuid` الخاص به؛ معرف UUID غير قابل للتعداد ولكن يمكن اكتشافه في السياقات المشتركة أو متعددة المستأجرين. يصحح الإصدار 0.3214.0 اجتياز مسار المعرف ويتحقق من توقيعات HMAC لخطاف الويب فقط عند تكوين سر؛ بدون سر، تستمرار معالجة خطافات الويب غير الموقعة.