CVE-2026-55098

اسم البرنامج المصاب والإصدارات المتأثرة Arc الإصدارات السابقة لـ 26.06.2

الوصف يوجد تجاوز لصلاحيات التفويض يسمح بالوصول عبر قواعد البيانات المختلفة من خلال وظائف الإدخال/الإخراج (I/O) ذات القيم الجدولية في DuckDB. في الملف internal/api/query.go تقوم الدالة extractTableReferences بتجاوز الأسماء التي تليها أقواس فتح، وتسمح الدالة checkQueryPermissions بالاستعلامات التي لا تحتوي على مراجع جداول مستخرجة. وبينما يتم حظر أنماط معينة، يفشل النظام في تقييد الاسم المستعار parquet scan ووظائف مثل glob() و parquet metadata() و parquet schema() و read blob() و read csv auto() و read json() و read text(). يمكن لطلب مرسل إلى نقطة النهاية POST /api/v1/query باستخدام هذه الوظائف أن يتجاوز تفويض المستأجر، مما يسمح بقراءة وتعداد بيانات السلاسل الزمنية والمخططات وإحصائيات نطاق القيم لكل عمود لقواعد بيانات أخرى ضمن الجذر المسموح به. تكمن المشكلة في كيفية تعامل allowed directories في internal/database/sandbox.go و GetStoragePath في internal/storage/util.go مع الجذر متعدد المستأجرين.

التوصيات تحديث Arc إلى الإصدار 26.06.2.