Falta de Autenticación en Webhook de dbt Cloud en Lightdash(CVE-2026-61654)

El webhook POST /api/v1/proyectos/{proyectUuid}/dbt-cloud/webhook no implementa autenticación ni validación de firma digital.

Vector de ataque:AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L (Red/Remoto - Bypass de Autenticación).

Impacto:Endpoint de webhook expuesto sin autenticación en Lightdash que permite a atacantes enviar cargas útiles no autorizadas y alterar proyectos.

Actualizar Lightdash a la versión 0.3214.0 o superior.

Implementar token de secreto compartido para webhooks.

https://nvd.nist.gov/vuln/detail/cve-2026-61654