CVE-2026-55098

Nome do Software Vulnerável e Versões Afetadas Arc versões anteriores a 26.06.2

Descrição Existe uma falha de bypass de autorização que permite o acesso entre bancos de dados através de funções de E/S baseadas em tabela do DuckDB. Em internal/api/query.go, a função extractTableReferences ignora nomes seguidos por um parêntese de abertura, e a checkQueryPermissions permite consultas sem referências de tabela extraídas. Embora certos padrões sejam bloqueados, o sistema não restringe o alias parquet scan e funções como glob(), parquet metadata(), parquet schema(), read blob(), read csv auto(), read json() e read text(). Uma requisição ao endpoint POST /api/v1/query usando essas funções pode ignorar a autorização do locatário (tenant), permitindo a leitura e enumeração de dados de séries temporais, esquemas e estatísticas de intervalo de valores por coluna de outros bancos de dados dentro da raiz permitida. O problema reside na forma como allowed directories em internal/database/sandbox.go e GetStoragePath em internal/storage/util.go lidam com a raiz multi-tenant.

Recomendações Atualize o Arc para a versão 26.06.2.