PT-2025-32376 · Unknown · Openmetadata

Javadk · Publicado 2025-08-08 · Atualizado 2025-08-13 · CVE-2025-50465

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do OpenMetadata anteriores à 1.4.5

Descrição O OpenMetadata está suscetível a uma vulnerabilidade de injeção de SQL. Um atacante pode extrair informações do banco de dados por meio da função listCount dentro da interface TestDefinitionDAO. O parâmetro testPlatform é utilizado para construir uma consulta SQL, possibilitando a injeção.

Recomendações Atualize para o OpenMetadata versão 1.4.5 ou posterior. Como solução temporária, restrinja o acesso à interface TestDefinitionDAO. Evite utilizar o parâmetro testPlatform na função afetada até que o problema seja resolvido.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-50465

Produtos afetados

Openmetadata

Referências · 9

• https://github.com/open-metadata/OpenMetadata/blob/4b9145a9da7ed95b7f868ab9f351e3d759af47d7/openmetadata-service/src/main/java/org/openmetadata/service/jdbi3/CollectionDAO.java#L3517 · Nota
• https://github.com/open-metadata/OpenMetadata/blob/4b9145a9da7ed95b7f868ab9f351e3d759af47d7/openmetadata-service/src/main/java/org/openmetadata/service/jdbi3/CollectionDAO.java#L3515 · Nota
• https://twitter.com/CVEnew/status/1953868997625286675 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-50465 · Nota de Segurança
• https://twitter.com/cracbot/status/1955585198051000596 · Publicação no Twitter
• https://t.me/CVEtracker/29515 · Publicação no Telegram
• https://gist.github.com/javadk/c23cc3276f3fb5587b0f4345d7a71a7f · Nota
• https://osv.dev/vulnerability/CVE-2025-50465 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1953885079584813533 · Publicação no Twitter