PT-2026-55458
CVE-2026-49360
·
تاريخ النشر
2026-07-02
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 4.0
7.8
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:L/SC:L/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Recce الأقدم من 1.50.0
الوصف
تسمح عمليات نشر خادم Recce OSS المعرضة لشبكات غير موثوقة دون مصادقة بتنفيذ أوامر SQL دون مصادقة عبر نقطة نهاية واجهة برمجة التطبيقات (API) الخاصة بتشغيل الاستعلامات. عند تكوين الخادم مع مشروع مدعوم بـ DuckDB، يمكن للمهاجم الاستفادة من عناصر نظام الملفات الأساسية في DuckDB لقراءة وكتابة الملفات التي يمكن لعملية الخادم الوصول إليها. قد يؤدي ذلك إلى الكشف عن الملفات المحلية، والتلاعب بملفات Recce أو dbt، وتعديل ملفات التطبيق أو الملفات الثابتة التي يقدمها المتصفح، مما قد يؤدي إلى حدوث هجمات البرمجة النصية عبر المواقع (XSS) المخزنة. إذا تم تشغيل الخادم بامتيازات الجذر، فسيتم منح الوصول إلى الملفات بأذونات الجذر داخل المضيف أو الحاوية.
التوصيات
قم بالتحديث إلى إصدار Recce 1.50.0 أو أحدث.
تجنب تعريض الخادم للإنترنت العام أو الشبكات غير الموثوق بها.
قم بتمكين المصادقة أو ضع الخادم خلف وكيل عكسي أو شبكة خاصة افتراضية (VPN) خاضعة للمصادقة.
قم بتشغيل الخادم كمستخدم غير جذر.
استخدم نظام ملفات تطبيق للقراءة فقط حيثما أمكن ذلك.
تأكد من أن الملفات الحساسة وبيانات الاعتماد غير متاحة لعملية الخادم.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾