CVE-2026-44968
Təsvir
dbt-mcp, dbt ilə qarşılıqlı əlaqə üçün Model Context Protocol serveridir. 1.17.1 versiyasından əvvəl src/dbt_mcp/dbt_cli/tools.py faylındakı _run_dbt_command() funksiyası təmizlənməmiş node_selection və resource_type dəyərlərini dbt alt-prosesinin arqument siyahısına əlavə edirdi. Bu, shell=False parametri shell metasimvollarının inyeksiyasını önləsə də, MCP klientinə subprocess.Popen vasitəsilə --profiles-dir, --project-dir və --target kimi dbt qlobal bayraqlarını inyeksiya etməyə imkan verirdi. Bu problem 1.17.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- dbt-mcp1.17.1 və ya daha yeni versiya
- getdbt dbt_mcp_server1.17.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| dbt-mcpPyPI | v < 1.17.1 | 1.17.1 |
| getdbt dbt_mcp_server | v < 1.17.1 | 1.17.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.