JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024820 dbt-mcp は dbt と対話するためのモデルコンテキストプロトコルサーバーです。バージョン 1.17.1 より前の src/dbt_mcp/tracking/tracking.py にある DefaultUsageTracker.emit_tool_called_event() は、すべての MCP ツール呼び出しの完全な引数辞書をシリアライズし、sql_query（show から）、vars（run、build、test から）、および node_selection（compile から）を含めたまま、マスク処理をせずに dbtlabs_vortex.producer.log_proto を通じて送信していました。一方、settings.py の usage_tracking_enabled はデフォルトでテレメトリを有効にしており、DBT_SEND_ANONYMOUS_USAGE_STATS=false または DO_NOT_TRACK=1 が設定されていない限りトラッキングを行っていました。この問題はバージョン 1.17.1 で修正されています。 cpe:/a:getdbt:dbt_mcp_server https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024820.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44970 https://www.cve.org/CVERecord?id=CVE-2026-44970 National Vulnerability Database (NVD) CVE-2026-44970 https://nvd.nist.gov/vuln/detail/CVE-2026-44970 GitHub All MCP Tool Arguments Including Raw SQL and --vars Credentials Transmitted to dbt Labs Telemetry by Default Without Redaction Advisory dbt-labs/dbt-mcp GitHub https://github.com/dbt-labs/dbt-mcp/security/advisories/GHSA-jj54-r8gm-2fcf JVNDB CWE-201 https://cwe.mitre.org/data/definitions/201.html 関連文書 fix: improve input validation and logging for dbt CLI tool parameters by b-per Pull Request #752 dbt-labs/dbt-mcp GitHub https://github.com/dbt-labs/dbt-mcp/pull/752 関連文書 Release v1.17.1 dbt-labs/dbt-mcp GitHub https://github.com/dbt-labs/dbt-mcp/releases/tag/v1.17.1 関連文書 fix: improve input validation and logging for dbt CLI tool parameters… dbt-labs/dbt-mcp@6534507 GitHub https://github.com/dbt-labs/dbt-mcp/commit/6534507b5e7a729758d5baece155602cad0bb22f 2026-07-23T10:42:32+09:00 2026-07-23T10:42:32+09:00