dbt docs serve: Nicht authentifizierte beliebige SQL-Ausführung ermöglicht Dateizugriff
Zusammenfassung
dbt docs serve in dbt-core 2.0.0-alpha.0 bis 2.0.0-alpha.5 (ohne alpha.5) stellt einen nicht authentifizierten Endpunkt POST /api/v1/query bereit, der vom Aufrufer übergebenes SQL ausführt. Ein Angreifer, der den Server erreichen kann, kann mit DuckDB-Funktionen zum Lesen von Dateien Daten lesen, auf die der dbt-Prozess zugreifen kann, einschliesslich Dateien ausserhalb des Docs-Index-Verzeichnisses. Der Server bindet standardmässig an localhost, daher betrifft das Risiko vor allem Umgebungen, in denen Betreiber ihn über die Option host oder DBT_DOCS_HOST im Netzwerk freigeben.
Betroffen
- dbt-core 2.0.0-alpha.0 bis einschliesslich vor 2.0.0-alpha.5
- Nur die Komponente dbt docs serve ist betroffen.
Behoben in
- Behoben in dbt-core 2.0.0-alpha.5. Die Endpunkte für ad-hoc-SQL-Abfragen wurden im Commit 3a5d26f entfernt.
Umgehung
- Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme.
- Docs-Server auf localhost belassen und bis zum Patch keine Freigabe über Firewall-, NAT- oder Container-Portregeln einrichten.
Ausnutzung
- CISA-SSVC-Bewertung: Exploitation 'poc', automatisierbar: ja, technische Auswirkung: partiell.
- In den geprüften Quellen nicht als aktiv ausgenutzt (KEV) gelistet.
- In unserer Recherche wurde kein öffentlicher Proof of Concept gefunden; die CISA-Bewertung deutet jedoch darauf hin, dass einer existieren kann.
Unsere Empfehlung
- dbt-core-Installationen der 2.0.0-alpha-Reihe identifizieren und auf 2.0.0-alpha.5 oder neuer aktualisieren.
- Prüfen, ob ein dbt-Docs-Server auf einer nicht lokalen Adresse lauscht (Option host oder DBT_DOCS_HOST), und auf localhost beschränken.
- Läuft der Server in einem Container, das Image neu erstellen und die Version des dbt-Binarys prüfen.
- Zugriffe auf Profil- und Credential-Dateien auf Hosts mit dem betroffenen Server überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- dbt-labs/dbt commit 3a5d26f (fix) github.com
- dbt v2.0.0-alpha.5 release github.com
- GitHub Security Advisory GHSA-h2j2-2r7g-rff8 github.com
- OSV: CVE-2026-100406 osv.dev
- VulDB 420310 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:16.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.