CVE-2026-29790
Açıklama
dbt-common, dbt-core ve adaptör uygulamalarının kullanımı için paylaşılan ortak yardımcı araçlardır. 1.34.2 ve 1.37.3 versiyonlarından önce, dbt-common'ın tarball arşivlerini ayıklarken kullandığı safe_extract() fonksiyonunda bir path traversal zafiyeti bulunmaktadır. Fonksiyon, çıkarılan dosyaların hedeflenen hedef dizin içinde kaldığını doğrulamak için os.path.commonprefix() kullanır. Ancak commonprefix(), yolları yol bileşenleri yerine karakter bazlı karşılaştırdığından, kötü niyetli bir tarball dosyasının eşleşen isim öneklerine sahip kardeş dizinlere dosya yazmasına izin verir. Bu sorun 1.34.2 ve 1.37.3 versiyonlarında düzeltilmiştir.
Nasıl düzeltilir
- getdbt dbt-common1.34.2, 1.37.3 ya da sonraki bir sürüm
- dbt-common1.34.2, 1.37.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| getdbt dbt-common | v < 1.34.2, 1.35.0 ≤ v < 1.37.3 | 1.34.2, 1.37.3 |
| dbt-commonPyPI | v < 1.34.2, 1.35.0 ≤ v < 1.37.3 | 1.34.2, 1.37.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.