CVE-2026-44968
Açıklama
dbt-mcp, dbt ile etkileşim kurmak için kullanılan bir Model Context Protocol sunucusudur. 1.17.1 sürümünden önce, src/dbt_mcp/dbt_cli/tools.py dosyasındaki _run_dbt_command() fonksiyonu, temizlenmemiş node_selection ve resource_type değerlerini dbt alt süreç argüman listesine ekliyordu; bu durum, shell=False kullanımı kabuk meta karakter enjeksiyonunu önlese bile, bir MCP istemcisinin subprocess.Popen içerisine --profiles-dir, --project-dir ve --target gibi dbt genel bayraklarını (global flags) enjekte etmesine olanak tanıyordu. Bu sorun 1.17.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- dbt-mcp1.17.1 ya da sonraki bir sürüm
- getdbt dbt_mcp_server1.17.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dbt-mcpPyPI | v < 1.17.1 | 1.17.1 |
| getdbt dbt_mcp_server | v < 1.17.1 | 1.17.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.