CVE-2026-108747: обход авторизации в Lightdash через удаление персональных токенов доступа
В Lightdash до версии 2.556.0 обнаружена уязвимость обхода авторизации (CVE-2026-108747), позволяющая аутентифицированному участнику организации удалять персональные токены доступа других пользователей, зная их UUID. Несмотря на низкий рейтинг CVSS (2.3), эксплуатация может нарушить работу API-интеграций, в том числе между разными организациями.
Подробности
Уязвимость классифицируется как обход авторизации (authorization bypass). Согласно описанию, аутентифицированный участник организации может удалить персональные токены доступа других пользователей, если ему известен UUID соответствующего токена. Для этого достаточно отправить запрос DELETE на маршрут personal-access-tokens с UUID чужого токена. Ключевая особенность проблемы — отсутствие должной привязки операции к владельцу токена и к организации. Это означает, что злоумышленник потенциально может отозвать токен, принадлежащий пользователю из другой организации, а не только из своей. Поскольку персональные токены доступа часто используются для интеграций с внешними сервисами и автоматизированными сценариями, их принудительное удаление способно привести к сбоям в работе API-интеграций и нарушению бизнес-процессов. Уязвимости присвоен рейтинг CVSS 2.3 (LOW). Столь низкая оценка, вероятно, отражает необходимость предварительной аутентификации и знания UUID атакуемого токена, что снижает простоту эксплуатации. Тем не менее последствия для пострадавших интеграций могут быть ощутимыми, особенно в сценариях, где токен используется критичными сервисами. Затронутый продукт — Lightdash (пакет lightdash). Уязвимость присутствует во всех версиях по 2.556.0 включительно.Что делать
Основная рекомендация — обновить Lightdash до версии, в которой устранена данная уязвимость (версии после 2.556.0, если такое исправление выпущено вендором). Перед обновлением стоит свериться с официальными релизными заметками и рекомендациями производителя. В качестве дополнительных мер mitigations рекомендуется: - ограничить круг пользователей, имеющих доступ к платформе, и пересмотреть роли участников организаций; - по возможности не раскрывать UUID персональных токенов доступа и хранить их в защищённом виде; - настроить мониторинг и аудит операций с персональными токенами (создание, удаление, отзыв), чтобы оперативно выявлять подозрительную активность; - использовать для интеграций сервисные учётные записи с минимально необходимыми правами и предусмотреть процедуры быстрого восстановления токенов при их непредвиденном отзыве. Если обновление невозможно в ближайшее время, следует рассмотреть ограничение сетевого доступа к маршруту personal-access-tokens средствами reverse proxy или WAF и усилить контроль за действиями аутентифицированных пользователей. Итог: CVE-2026-108747 — уязвимость обхода авторизации в Lightdash, позволяющая удалять чужие персональные токены доступа. Несмотря на низкий уровень критичности по CVSS, она способна нарушить работу API-интеграций. Рекомендуется своевременно обновить продукт и усилить контроль за операциями с токенами.Источник: CVE Project (cvelistV5)