CVE-2026-44968

dbt-mcp الإصدار 1.15.1

تتعرض الدالة run dbt command() الموجودة في src/dbt mcp/dbt cli/tools.py لخطر حقن قائمة الوسيطات. ويحدث ذلك لأن المعلمات التي يقدمها المستخدم تُلحق بقائمة وسيطات العملية الفرعية لـ dbt دون تنقية مناسبة، مما يسمح للمهاجم بحقن علامات dbt عامة عشوائية. وهناك ناقلان رئيسيان للحقن: السلسلة node selection ومصفوفة JSON resource type. من خلال استغلال هذين المسارين، يمكن للمهاجم استخدام علامات مثل --profiles-dir و--project-dir و--target لتجاوز تكوين الخادم، أو إعادة توجيه جذر المشروع، أو تغيير بيئة التنفيذ. على سبيل المثال، يؤدي حقن قيمة خبيثة لـ --profiles-dir إلى السماح لـ dbt بتحميل ملف profiles.yml يتحكم فيه المهاجم، مما قد يؤدي إلى عمليات غير مصرح بها على قاعدة البيانات.

بالنسبة للإصدار 1.15.1، قم بتنفيذ التحقق من صحة المعلمة node selection من خلال التأكد من أن كل رمز مميز يتطابق مع نمط تعبير منتظم آمن ولا يبدأ بشرطة.

بالنسبة للإصدار 1.15.1، تحقق من صحة المعلمة resource type مقابل قائمة السماح الصريحة لأنواع الموارد المعترف بها.

كإجراء تخفيفي مؤقت، قم بتقييد استخدام المعلمتين node selection وresource type على المدخلات الموثوقة فقط.