Alta

dbt uses a SQLparse version with a high vulnerability

Publicada: 22.04.2024
Actualizado: 11.10.2026 12:18

Summary

Using a version of sqlparse that has a security vulnerability and no way to update in current version of dbt core. Snyk recommends using sqlparse==0.5 but this causes a conflict with dbt. Snyk states the issues is a recursion error: SNYK-PYTHON-SQLPARSE-6615674.

Details

Dependency conflict error message:

bash

The conflict is caused by:
    The user requested sqlparse==0.5
    dbt-core 1.7.10 depends on sqlparse<0.5 and >=0.2.3

Resolution was to pin sqlparse >=0.5.0, <0.6.0 in dbt-core, patched in 1.6.13 and 1.7.13.

PoC

From Snyk:

python

import sqlparse
sqlparse.parse('[' * 10000 + ']' * 10000)

Impact

Snyk classifies it as high 7.5/10.

Patches

The bug has been fixed in dbt-core v1.6.13 and dbt-core v1.7.13.

Mitigations

Bump dbt-core 1.6 and 1.7 dependencies to 1.6.13 and 1.7.13 respectively

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Python (PyPI)	dbt-core	>= 1.6.0, < 1.6.13, >= 1.7.0, < 1.7.13	1.6.13, 1.7.13

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Debilidad (CWE): CWE-673
Plataforma: Python (PyPI)
Paquete: dbt-core
Publicada: 22.04.2024
Actualizado: 11.10.2026 12:18

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-p72q-h37j-3hq7 - CC BY 4.0

Historial de vulnerabilidades: dbt-core

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 4
Primera → última: 12.2023 07.2024
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 1
Media 1
Baja 2

Divulgaciones por año

2023: 1
2024: 3
2025: 0
2026: 0

16.07.2024

dbt has an implicit override for built-in materializations from installed packages

Baja · 4.2 CVE-2024-40637 >= 1.6.0, < 1.6.14, >= 1.7.0, < 1.7.14 1.6.14, 1.7.14
28.05.2024

dbt allows Binding to an Unrestricted IP Address via socketsocket

Media · 5.3 CVE-2024-36105 < 1.6.15, >= 1.7.0, < 1.7.15, >= 1.8.0, < 1.8.1 1.6.15, 1.7.15, 1.8.1
22.04.2024

dbt uses a SQLparse version with a high vulnerability esta entrada

Alta · 7.5 ghsa-p72q-h37j-3hq7 >= 1.6.0, < 1.6.13, >= 1.7.0, < 1.7.13 1.6.13, 1.7.13
08.12.2023

dbt-core's secret env vars written to package-lock.json in plaintext

Baja · 3.2 ghsa-j4g3-3q8x-jxqp >= 1.7.0, < 1.7.3 1.7.3

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación