Hoch

dbt uses a SQLparse version with a high vulnerability

Veröffentlicht: 22.04.2024
Aktualisiert: 11.10.2026 12:18

Summary

Using a version of sqlparse that has a security vulnerability and no way to update in current version of dbt core. Snyk recommends using sqlparse==0.5 but this causes a conflict with dbt. Snyk states the issues is a recursion error: SNYK-PYTHON-SQLPARSE-6615674.

Details

Dependency conflict error message:

bash

The conflict is caused by:
    The user requested sqlparse==0.5
    dbt-core 1.7.10 depends on sqlparse<0.5 and >=0.2.3

Resolution was to pin sqlparse >=0.5.0, <0.6.0 in dbt-core, patched in 1.6.13 and 1.7.13.

PoC

From Snyk:

python

import sqlparse
sqlparse.parse('[' * 10000 + ']' * 10000)

Impact

Snyk classifies it as high 7.5/10.

Patches

The bug has been fixed in dbt-core v1.6.13 and dbt-core v1.7.13.

Mitigations

Bump dbt-core 1.6 and 1.7 dependencies to 1.6.13 and 1.7.13 respectively

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Python (PyPI)	dbt-core	>= 1.6.0, < 1.6.13, >= 1.7.0, < 1.7.13	1.6.13, 1.7.13

Verweise

CVSS-Wert 7.5/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Schwäche (CWE): CWE-673
Plattform: Python (PyPI)
Paket: dbt-core
Veröffentlicht: 22.04.2024
Aktualisiert: 11.10.2026 12:18

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-p72q-h37j-3hq7 - CC BY 4.0

Schwachstellenhistorie: dbt-core

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 4
Erste → letzte: 12.2023 07.2024
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 1
Niedrig 2

Veröffentlichungen pro Jahr

2023: 1
2024: 3
2025: 0
2026: 0

16.07.2024

dbt has an implicit override for built-in materializations from installed packages

Niedrig · 4.2 CVE-2024-40637 >= 1.6.0, < 1.6.14, >= 1.7.0, < 1.7.14 1.6.14, 1.7.14
28.05.2024

dbt allows Binding to an Unrestricted IP Address via socketsocket

Mittel · 5.3 CVE-2024-36105 < 1.6.15, >= 1.7.0, < 1.7.15, >= 1.8.0, < 1.8.1 1.6.15, 1.7.15, 1.8.1
22.04.2024

dbt uses a SQLparse version with a high vulnerability dieser Eintrag

Hoch · 7.5 ghsa-p72q-h37j-3hq7 >= 1.6.0, < 1.6.13, >= 1.7.0, < 1.7.13 1.6.13, 1.7.13
08.12.2023

dbt-core's secret env vars written to package-lock.json in plaintext

Niedrig · 3.2 ghsa-j4g3-3q8x-jxqp >= 1.7.0, < 1.7.3 1.7.3

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden