PT-2025-32371 · Unknown · Openmetadata

Javadk · Publicado 2025-08-08 · Atualizado 2025-08-11 · CVE-2025-50467

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do OpenMetadata anteriores à 1.4.4

Descrição O OpenMetadata está suscetível a uma vulnerabilidade de injeção de SQL. Um atacante pode extrair informações do banco de dados através da função listCount dentro da interface TestDefinitionDAO. O parâmetro supportedDataTypeParam pode ser manipulado para construir uma consulta SQL.

Recomendações Atualize para uma versão do OpenMetadata superior à 1.4.4.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-50467

Produtos afetados

Openmetadata

Referências · 9

• https://github.com/open-metadata/OpenMetadata/blob/4b9145a9da7ed95b7f868ab9f351e3d759af47d7/openmetadata-service/src/main/java/org/openmetadata/service/jdbi3/CollectionDAO.java#L3527 · Nota
• https://github.com/open-metadata/OpenMetadata/blob/4b9145a9da7ed95b7f868ab9f351e3d759af47d7/openmetadata-service/src/main/java/org/openmetadata/service/jdbi3/CollectionDAO.java#L3528 · Nota
• https://t.me/CVEtracker/29517 · Publicação no Telegram
• https://twitter.com/dailycve/status/1954945218362343472 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1953879960013230268 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-50467 · Nota de Segurança
• https://twitter.com/CVEnew/status/1953863680036061235 · Publicação no Twitter
• https://gist.github.com/javadk/ed0d38e4578405672f154e289036a705 · Nota
• https://osv.dev/vulnerability/CVE-2025-50467 · Aviso do Fabricante