CVE-2026-39382
Açıklama
dbt, veri analistlerinin ve mühendislerinin verilerini, yazılım mühendislerinin uygulama geliştirmek için kullandığı uygulamaların aynısını kullanarak dönüştürmelerine olanak tanır. Yeniden kullanılabilir dbt-labs/actions/blob/main/.github/workflows/open-issue-in-repo.yml iş akışı içerisinde, prep işi, bir dokümantasyon sorununun halihazırda açıldığını belirten mevcut bir yorumu aramak için peter-evans/find-comment kullanır. Ardından steps.issue_comment.outputs.comment-body çıktısı doğrudan bir bash if ifadesine eklenir. comment-body saldırgan tarafından kontrol edilen bir metin olduğu ve kaçış karakterleri kullanılmadan kabuk sözdizimine yerleştirildiği için, kötü niyetli bir yorum gövdesi tırnak içine alınmış dizinin dışına çıkabilir ve rastgele kabuk komutları enjekte edebilir. Bu güvenlik açığı bbed8d28354e9c644c5a7df13946a3a0451f9ab9 commit'i ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dbt-labs dbt-core | < bbed8d28354e9c644c5a7df13946a3a0451f9ab9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.