Wysoka

dbt uses a SQLparse version with a high vulnerability

Ujawniono: 22.04.2024
Aktualizacja: 11.10.2026 12:18

Summary

Using a version of sqlparse that has a security vulnerability and no way to update in current version of dbt core. Snyk recommends using sqlparse==0.5 but this causes a conflict with dbt. Snyk states the issues is a recursion error: SNYK-PYTHON-SQLPARSE-6615674.

Details

Dependency conflict error message:

bash

The conflict is caused by:
    The user requested sqlparse==0.5
    dbt-core 1.7.10 depends on sqlparse<0.5 and >=0.2.3

Resolution was to pin sqlparse >=0.5.0, <0.6.0 in dbt-core, patched in 1.6.13 and 1.7.13.

PoC

From Snyk:

python

import sqlparse
sqlparse.parse('[' * 10000 + ']' * 10000)

Impact

Snyk classifies it as high 7.5/10.

Patches

The bug has been fixed in dbt-core v1.6.13 and dbt-core v1.7.13.

Mitigations

Bump dbt-core 1.6 and 1.7 dependencies to 1.6.13 and 1.7.13 respectively

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Python (PyPI)	dbt-core	>= 1.6.0, < 1.6.13, >= 1.7.0, < 1.7.13	1.6.13, 1.7.13

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-673
Platforma: Python (PyPI)
Paczka: dbt-core
Ujawniono: 22.04.2024
Aktualizacja: 11.10.2026 12:18

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-p72q-h37j-3hq7 - CC BY 4.0

Historia podatności: dbt-core

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 4
Pierwsza → ostatnia: 12.2023 07.2024
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Średnia 1
Niska 2

Ujawnienia w latach

2023: 1
2024: 3
2025: 0
2026: 0

16.07.2024

dbt has an implicit override for built-in materializations from installed packages

Niska · 4.2 CVE-2024-40637 >= 1.6.0, < 1.6.14, >= 1.7.0, < 1.7.14 1.6.14, 1.7.14
28.05.2024

dbt allows Binding to an Unrestricted IP Address via socketsocket

Średnia · 5.3 CVE-2024-36105 < 1.6.15, >= 1.7.0, < 1.7.15, >= 1.8.0, < 1.8.1 1.6.15, 1.7.15, 1.8.1
22.04.2024

dbt uses a SQLparse version with a high vulnerability ten wpis

Wysoka · 7.5 ghsa-p72q-h37j-3hq7 >= 1.6.0, < 1.6.13, >= 1.7.0, < 1.7.13 1.6.13, 1.7.13
08.12.2023

dbt-core's secret env vars written to package-lock.json in plaintext

Niska · 3.2 ghsa-j4g3-3q8x-jxqp >= 1.7.0, < 1.7.3 1.7.3

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację