OpenMetadata Pre-Auth Sensitive Info Disclosure: DB Password and JWT Leak in TEST_CONNECTION Workflow

Vulnerability Overview Vulnerability Name: [OpenMetadata 1.12.1] TEST_CONNECTION workflow leaks ingestion-bot JWT and database password to regular users Vulnerability Description: In OpenMetadata version 1.12.1, when a non-administrator SSO user triggers the workflow for a database service, the database password and the ingestion-bot JWT are leaked in the HTTP 201 response. Scope of Impact Affected Versions: OpenMetadata 1.12.1 Fixed Versions: OpenMetadata 1.12.4 Severity: High (CVSS v3 Base Score: 8.3/10) Remediation Version Upgrade: Upgrade to OpenMetadata 1.12.4 or higher. Configuration Recommendations: If credentials are stored using a Secrets Store, ensure that best practices for production environments are followed. Proof of Concept (POC) Code Request Example Response Example ```json { "id": "5acd06f0-0db6-43b9-b0e0-e1574479bbaa", "workflowType": "TEST_CONNECTION", "request": { "connection": { "config": { "type": "Oracle", "scheme": "oracle+cx_oracle", "username": "opno_gobierno_datos", "password": "REAL_PASSWORD_HERE", "hostPort": "172.16.54.32:1521", }, }, "serviceType": "Database", "connectionType": "Oracle", "serviceName": "uptlsc_scare2_srevel", "secretsManagerProvider": "db" }, "openMetadataServerConnection": { "type": "OpenMetadata", "hostPort": "http://openmetadata-server:8585/api", "authProvider": "openmetadata", "securityConfig": { "jwtToken": "eyJhbWciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.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

Goal Reached Thanks to every supporter — we hit 100%!

OpenMetadata Pre-Auth Sensitive Info Disclosure: DB Password and JWT Leak in TEST_CONNECTION Workflow

More from this source