CVE-2026-39382
Təsvir
dbt məlumat analitiklərinə və mühəndislərinə proqram təminatı mühəndislərinin tətbiqlər yaratmaq üçün istifadə etdikləri eyni təcrübələrdən istifadə edərək məlumatlarını transformasiya etməyə imkan verir. Təkrar istifadə edilə bilən dbt-labs/actions/blob/main/.github/workflows/open-issue-in-repo.yml iş axınının daxilində, prep tapşırığı sənədləşmə ilə bağlı problemin artıq açıldığını göstərən mövcud şərhi axtarmaq üçün peter-evans/find-comment-dən istifadə edir. Daha sonra steps.issue_comment.outputs.comment-body çıxışı birbaşa bash if operatoruna interpolasiya edilir. comment-body hücumçunun nəzarətində olan mətn olduğu və escape edilmədən shell sintaksisinə daxil edildiyi üçün, zərərli şərh gövdəsi dırnaq arası sətirdən çıxaraq ixtiyari shell əmrlərini inyeksiya edə bilər. Bu boşluq bbed8d28354e9c644c5a7df13946a3a0451f9ab9 commit-i ilə düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dbt-labs dbt-core | < bbed8d28354e9c644c5a7df13946a3a0451f9ab9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.