Lightdash: Pfadüberschreitung (Path Traversal) (CVE-2026-61576)

Was ist betroffen, was ist zu tun

Lightdash ist eine Open-Source-Geschäftsinformationsplattform. In den betroffenen Versionen bis 0.3213.0 hat der dbt Cloud-Webhook `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` keine Authentifizierungsmiddleware oder Signaturenvalidierung.

Aktualisieren Sie Lightdash auf Version 0.3214.0.

Betroffen

• Lightdash lt *..0.3214.0

Behoben in

• Lightdash 0.3214.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Lightdash ist eine Open-Source-Geschäftsinformationsplattform. In den betroffenen Versionen bis 0.3213.0 hat der dbt Cloud-Webhook `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` keine Authentifizierungsmiddleware oder Signaturenvalidierung. In `packages/backend/src/controllers/projectController.ts` akzeptiert `testWebhook()` `accountId` und `runId` aus einer `job.run.completed`-Anfrage und übergibt sie an `createPreviewWithExplores()` in `packages/backend/src/services/ProjectService/ProjectService.ts`. Diese nicht bereinigten Werte werden in die serverseitige dbt Cloud API-URL interpoliert, die mit der API-Schlüssel des Opferprojekts im `Authorization`-Header angefordert wird. Durch Pfad-Traversierung über `accountId` wird der angeforderte Pfad auf `cloud.getdbt.com` geändert, ohne den Host zu ändern, sodass die anmeldeinformationstragende Anfrage einen vom Angreifer beeinflussten Pfad auf diesem festen Host erreicht. Der Sicherheitshinweis behauptet den Diebstahl von API-Schlüsseln, aber die vorgelegten Beweise legen nicht nahe, dass der Angreifer den `Authorization`-Header beobachten kann. Der unauthentifizierte Webhook ermöglicht auch die Erstellung von Vorschauen. Das Ziel muss ein `dbt Cloud IDE`-Projekt sein und der Angreifer muss dessen `projectUuid` kennen; die UUID ist nicht aufzählbar, kann aber in gemeinsam genutzten oder mehrinstanzenfähigen Kontexten entdeckt werden. Version 0.3214.0 behebt die Pfad-Traversierung von Identifikatoren und validiert Webhook-HMAC-Signaturen nur, wenn ein Geheimnis konfiguriert ist; ohne ein Geheimnis werden weiterhin unsignierte Webhooks verarbeitet.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: cvelistv5, NVD (NIST)

Hersteller und Produkte

• Lightdash Lightdash

Weakness-Klassen (CWE)

• CWE-22Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

  Base

  The product uses external input to construct a pathname that is intended to identify a file or directory that is located underneath a restricted parent directory, but the product does not properly neutralize special elements within the pathname that can cause the pathname to resolve to a location that is outside of the restricted directory.

  Eintrag bei MITRE CWE-22

Quellen & Referenzen

• github.comlightdash/lightdash/commit/8d1d9bb6804bbea66a7bdf1b9b0009266538…x_refsource_MISC
• github.comlightdash/lightdash/pull/24587x_refsource_MISC
• github.comlightdash/lightdash/releases/tag/0.3214.0x_refsource_MISC
• github.comlightdash/lightdash/security/advisories/GHSA-3594-hhm2-76fjx_refsource_CONFIRM

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 30.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: nein

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-61576","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-10-30T15:20:43.431367Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

2. 29.10.2026Neu erfasstGitHub

   CVSS V4.0: AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

   Schwachstellentyp: CWE-22

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://github.com/lightdash/lightdash/commit/8d1d9bb6804bbea66a7bdf1b9b00092665382f14
   • https://github.com/lightdash/lightdash/pull/24587
   • https://github.com/lightdash/lightdash/releases/tag/0.3214.0
   • https://github.com/lightdash/lightdash/security/advisories/GHSA-3594-hhm2-76fj
   8 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	Lightdash is an open source business intelligence platform. In affected versions through 0.3213.0, the dbt Cloud webhook `POST /api/v1/projects/{projectUuid}/dbt-cloud/webhook` has no authentication middleware or signature validation. In `packages/backend/src/controllers/projectController.ts`, `testWebhook()` accepts `accountId` and `runId` from a `job.run.completed` request and passes them to `createPreviewWithExplores()` in `packages/backend/src/services/ProjectService/ProjectService.ts`. These unsanitized values are interpolated into the server-side dbt Cloud API URL, which is requested with the victim project's API key in the `Authorization` header. Path traversal through `accountId` changes the requested path on `cloud.getdbt.com` without changing its host, so the credential-bearing request reaches an attacker-influenced path on that fixed host. The advisory claims API-key theft, but the supplied evidence does not establish that the attacker can observe the `Authorization` header. The unauthenticated webhook also allows preview creation. The target must be a `dbt Cloud IDE` project and the attacker must know its `projectUuid`; the UUID is not enumerable but can be discovered in shared or multi-tenant contexts. Version 0.3214.0 fixes identifier path traversal and verifies webhook HMAC signatures only when a secret is configured; without a secret, unsigned webhooks continue to be processed.
   CVSS	ergänzt	—	AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
   Schwachstellentyp (CWE)	ergänzt	—	CWE-22
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/61xxx/CVE-2026-61576.json">CVE-2026-61576</a>
   Referenz	ergänzt	—	https://github.com/lightdash/lightdash/commit/8d1d9bb6804bbea66a7bdf1b9b00092665382f14
   Referenz	ergänzt	—	https://github.com/lightdash/lightdash/pull/24587
   Referenz	ergänzt	—	https://github.com/lightdash/lightdash/releases/tag/0.3214.0
   Referenz	ergänzt	—	https://github.com/lightdash/lightdash/security/advisories/GHSA-3594-hhm2-76fj

   Kennung der Quelle: security-advisories@github.com