CVE-2026-48050

إصدارات Arc السابقة للإصدار 26.06.1

يقوم Arc بتسجيل معالجات Go net/http/pprof في نقطة النهاية /debug/pprof/*. ونظرًا لتكوين يتم فيه إضافة /debug/pprof إلى PublicPrefixes، ووقوع قصر في البرمجيات الوسيطة للمصادقة قبل التحقق من الرمز المميز عند مطابقة البادئة، فإن نقاط النهاية هذه يمكن الوصول إليها دون مصادقة. وهذا يسمح للمتصلين القادرين على الوصول عبر الشبكة بتسريب حالة الذاكرة، بما في ذلك سلاسل SQL النشطة، وسجلات msgpack التي تم فك تشفيرها، ونصوص الطلبات التي تم فك ضغطها، و*TokenInfo المخزنة مؤقتًا عبر نقطة النهاية /debug/pprof/heap. بالإضافة إلى ذلك، تتسبب نقطة النهاية /debug/pprof/goroutine?debug=2 في تسريب مكدسات الاستدعاءات. ويمكن استخدام نقطتي النهاية /debug/pprof/profile?seconds=N و/debug/pprof/trace للتسبب في هجوم «رفض الخدمة» (DoS) عن طريق تثبيت نواة وحدة المعالجة المركزية (CPU) لمدة تعسفية عبر المعلمة seconds، التي تفتقر إلى حدود الموارد وتقييد المعدل.

التحديث إلى الإصدار 26.06.1.

حظر /debug/pprof* على وكيل عكسي أو موزع تحميل أمام Arc.

تقييد الوصول إلى منفذ واجهة برمجة تطبيقات Arc على الشبكات الموثوقة والمعروفة باستخدام قواعد جدار الحماية.

تعليق app.Use(pprof.New()) في internal/api/server.go وإعادة بناء التطبيق.