dbt-core's secret env vars written to package-lock.json in plaintext

低 3.2GHSA-j4g3-3q8x-jxqp · 08/12/2023 公開 · 04/12/2024 更新

要点

GHSA-j4g3-3q8x-jxqp は dbt-core に影響する深刻度「低」 (CVSS 3.2) の脆弱性です。
対処：1.7.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
dbt-core PyPI	`≥ 1.7.0, < 1.7.3`	`1.7.3`

概要

Impact

When used to pull source code from a private repository using a Personal Access Token (PAT), some versions of dbt-core write a URL with the PAT in plaintext to the package-lock.yml file.

Patches

The bug has been fixed in dbt-core v1.7.3.

Mitigations

Remove any git URLs with plaintext secrets from package-lock.yml file(s) on servers, workstations, or in source control. Rotate any tokens that have been written to version-controlled files.

参考情報

dbt-labs/dbt-core security advisory · WEB
dbt-labs/dbt-core commit 09f5bb3 · WEB
dbt-labs/dbt-core · PACKAGE
dbt-labs/dbt-core release v1.7.3 · WEB

dbt-core のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

dbt-core

PyPI

≥ 1.7.0, < 1.7.3

1.7.3

概要