CVE-2026-49360 in Recce
الملخص
بحسب VulDB • 22/08/2026
Recce هو مجموعة أدوات للتحقق من صحة البيانات تهدف إلى تعزيز مراجعة طلبات السحب (PR) في dbt (أداة بناء البيانات). قبل الإصدار 1.50.0، كانت عمليات نشر الخادم المفتوحة للمصدر الحر (OSS) والتي تعرض الخادم لشبكة غير موثوقة دون مصادقة عرضة لتنفيذ SQL غير مصرح به عبر واجهة برمجة التطبيقات لتشغيل الاستعلامات (query run API). عندما يتم تكوين Recce مع مشروع يعتمد على DuckDB، يمكن لمهاجم استخدام البدائل الأساسية لملفات نظام DuckDB لقراءة وكتابة الملفات المتاحة لعملية خادم Recce. تعتمد الأثر الناتج عن ذلك على كيفية نشر Recce، ولكن قد يشمل الكشف عن ملفات محلية، العبث بمنتجات (artifacts) الخاصة بـ Recce/dbt، تعديل الملفات الثابتة التي يخدمها المتصفح مما يؤدي إلى هجمات XSS مخزنة (Stored XSS)، وتعديل ملفات التطبيق إذا كانت مساراتها قابلة للكتابة. إذا تم تشغيل Recce بصلاحيات الجذر (root)، فإن الوصول إلى الملفات يتم بصلاحيات root داخل ذلك المضيف أو الحاوية. تمت معالجة هذه المشكلة في الإصدار `v1.50.0` من Recce. يجب على المستخدمين الترقية إلى الإصدار `v1.50.0` أو أحدث. تقيد التصحيح سلوك قراءة/كتابة الملفات غير الآمن لتنفيذ استعلامات DuckDB، ويعزز أمان مسار الاستعلام المتأثر. كما تم مراجعة محولات المستودعات الأخرى (warehouse adapters) للبحث عن تعريضات مماثلة. يجب على المستخدمين الذين لا يمكنهم الترقية فوراً تجنب تعريض `recce server` للإنترنت العام أو أي شبكة غير موثوقة. تشمل التخفيفات الموصى بها تفعيل المصادقة، أو وضع Recce خلف وكيل عكسي (reverse proxy) معتمد/VPN يتطلب مصادقة، وتشغيل Recce كمستخدم غير جذري (non-root)، واستخدام نظام ملفات تطبيق مقروء فقط حيثما أمكن ذلك، وضمان عدم توفر الملفات الحساسة أو بيانات الاعتماد لعملية Recce.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.