CVE-2021-34684

**Nome do software vulnerável e versões afetadas:

Hitachi Vantara Pentaho Business Analytics até a versão 9.1

Descrição:

A vulnerabilidade permite que um usuário não autenticado execute consultas SQL arbitrárias em qualquer fonte de dados do Pentaho, possibilitando assim a recuperação de dados de bancos de dados relacionados. Isso é demonstrado pela URI “api/repos/dashboards/editor”, que é um endpoint de API. O endpoint api/repos/dashboards/editor está vulnerável a essa falha, permitindo acesso não autorizado a dados confidenciais.

Recomendações:

Para as versões do Hitachi Vantara Pentaho Business Analytics até a 9.1, considere restringir o acesso ao ponto de extremidade da API api/repos/dashboards/editor até que um patch esteja disponível. Como solução alternativa temporária, limite a execução de consultas SQL arbitrárias em fontes de dados do Pentaho para impedir a recuperação não autorizada de dados.