Liv Matan

O endpoint do Looker usado para criar novos projetos a partir de conexões de banco de dados permite a especificação de "looker" como um nome de conexão, que é um nome reservado para o banco de dados MySQL interno do Looker. O parâmetro `schemas` é suscetível a injeção de SQL, permitindo a manipulação de consultas SELECT executadas contra o banco de dados MySQL interno. Isso permite que usuários com permissões de desenvolvedor extraiam dados do banco de dados MySQL interno do Looker. O endpoint da API envolvido é o endpoint de geração de projetos. O parâmetro vulnerável é `schemas`.

Existe uma vulnerabilidade de injeção de SQL no Looker Studio. Um usuário com acesso de visualização de relatório pode injetar código SQL malicioso que é executado com as permissões do proprietário do relatório. Isso afeta relatórios que utilizam o BigQuery como fonte de dados.

Foi identificada uma vulnerabilidade de injeção de SQL no Looker Studio, potencialmente permitindo a exfiltração não autorizada de dados de fontes de dados do BigQuery. Um atacante poderia criar um relatório malicioso com funções nativas habilitadas. Quando uma vítima acessa este relatório, o atacante poderia executar consultas SQL injetadas usando as permissões da vítima dentro do BigQuery. O endpoint da API utilizado para este ataque não é especificado. O parâmetro vulnerável não é especificado. A função `executeSQL()` está potencialmente envolvida.

Um problema de gerenciamento impróprio de privilégios foi identificado no Looker Studio, afetando todos os conectores baseados em JDBC. Um usuário do Looker Studio com acesso de visualização de relatório poderia criar uma cópia de um relatório e executar consultas SQL arbitrárias no banco de dados da fonte de dados, devido às credenciais armazenadas associadas ao relatório.