p PatchFirst

GHSA-j4g3-3q8x-jxqp

GHSA-j4g3-3q8x-jxqp · dbt-core's secret env vars written to package-lock.json in plaintext

CVSS 3.2 · Низкий · Есть исправление

Затронуты ли вы?

  • dbt-core PyPIОбновитесь до 1.7.3

Как узнать установленную версию:

pip show dbt-core

Бесплатная проверка подсветит, требует ли внимания dbt-core и остальные зависимости: проверьте lock-файл проекта или весь сервер командой ниже. Без регистрации. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить зависимости бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

### Impact When used to pull source code from a private repository using a Personal Access Token (PAT), some versions of dbt-core write a URL with the PAT in plaintext to the `package-lock.yml` file. ### Patches The bug has been fixed in [dbt-core v1.7.3](https://github.com/dbt-labs/dbt-core/releases/tag/v1.7.3). ### Mitigations Remove any git URLs with plaintext secrets from `package-lock.yml` file(s) on servers, workstations, or in source control. Rotate any tokens that have been written to version-controlled files.

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • dbt-core PyPI

    Версии
    • 1.7.0
    • 1.7.1
    • 1.7.2
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 1.7.0, < 1.7.3

    Обновитесь до 1.7.3

Первоисточники

Проверьте свой сервер →