Amfor

**Nome do Software Vulnerável e Versões Afetadas** OpenMetadata versões anteriores à versão 1.11.8 **Descrição** O OpenMetadata é suscetível a um problema de divulgação de informações que pode levar à elevação de privilégios. Chamadas ao endpoint `/api/v1/ingestionPipelines` podem expor JWTs utilizados pelo `ingestion-bot` para serviços como Glue, Redshift e Postgres. Um usuário somente leitura pode obter acesso a uma conta altamente privilegiada, normalmente a função Ingestion Bot, possibilitando alterações destrutivas nas instâncias do OpenMetadata e vazamento de dados, incluindo dados de exemplo ou metadados de serviço restritos por funções e políticas. O token JWT está presente no payload da API. A exploração permite a suplantação de usuário, mesmo para aqueles com acesso somente leitura. **Recomendações** Para versões anteriores à versão 1.11.8, remova o `jwtToken` do payload da API. Implemente filtragem baseada em funções para garantir que apenas usuários com permissões explícitas de administrador ou conta de serviço recebam tokens JWT. Rotacione os tokens do Ingestion Bot nos ambientes afetados.